Política de Privacidad — Atymus

Versión: 1.7 Última actualización: 09/10/2026 Ámbito regulatorio inicial: Unión Europea (lanzamiento en Francia + expansión progresiva UE) Idioma de referencia: Esta es una traducción informativa. En caso de discrepancia interpretativa, prevalece la versión en francés (jurisdicción inicial). Ver privacy-policy-fr.md.

1. Quiénes somos

La presente Política de Privacidad describe cómo la aplicación móvil Atymus («Atymus», «la Aplicación», «nosotros») recopila, utiliza, conserva y comparte sus datos personales.

Responsable del tratamiento de datos (en el sentido del artículo 4, 7) del RGPD):

Felipe Oliveira Persona física, residente en Aix-en-Provence, Francia Contacto: admin@atymus.com

Atymus opera de conformidad con: - Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos (RGPD) - Ley francesa n.º 78-17 de 6 de enero de 1978, modificada (Loi Informatique et Libertés) - Recomendaciones de la Comisión Nacional de Informática y Libertades (CNIL)

Atymus está destinado inicialmente a residentes de la Unión Europea. Los usuarios residentes fuera de la UE deben tener en cuenta que las normas aquí descritas se basan en el estándar RGPD, generalmente más protector que el exigido en otras jurisdicciones. La expansión formal a otros mercados (Brasil, Estados Unidos, etc.) será objeto de una actualización específica de la presente Política.

2. Qué es Atymus

Atymus es una aplicación de bienestar y fitness (wellness) destinada a ayudarle a llevar un seguimiento de sus hábitos de salud — alimentación, sueño, actividad física y medidas corporales. La Aplicación ofrece un análisis personalizado mediante inteligencia artificial y funciona mediante suscripción recurrente.

⚠️ Atymus NO es un dispositivo médico. No diagnostica, no trata, no previene ni cura ninguna afección clínica. Los contenidos y sugerencias ofrecidos tienen una finalidad estrictamente educativa y de seguimiento personal, y no sustituyen en ningún caso el consejo de un profesional sanitario cualificado. Consulte siempre a su médico antes de realizar cambios significativos en su alimentación, entrenamiento o estilo de vida.

3. Qué datos recopilamos

Solo recopilamos los datos necesarios para el funcionamiento de la Aplicación y las finalidades descritas en la sección 4.

3.1. Datos de identificación y cuenta

• Dirección de correo electrónico
• Nombre o identificador elegido por usted
• Contraseña (almacenada en forma cifrada por Firebase Authentication; nunca tenemos acceso en texto claro)
• Fecha de nacimiento
• Género (autodeclarado)
• País de residencia e idioma preferido

3.2. Datos sensibles de salud — categoría especial de datos (RGPD, artículo 9)

Estos datos reciben un nivel de protección reforzado. Tratamos:

• Medidas corporales: peso, altura, porcentaje de grasa corporal, porcentaje de masa muscular, porcentaje de agua corporal, grasa visceral, edad metabólica (a partir de una báscula de bioimpedancia manual o vía foto)
• Alimentación: alimentos consumidos, cantidades, fotos de comidas, valores nutricionales (calorías, proteínas, hidratos de carbono, grasas), objetivos nutricionales
• Sueño: duración, calidad percibida, nivel de energía al despertar, nivel de estrés, estado de ánimo
• Actividad física: tipo de entrenamiento, duración, ejercicios realizados, series, repeticiones, cargas, esfuerzo percibido (RPE), distancia, calorías estimadas
• Puntuación de vitalidad: valor agregado calculado a partir de los datos anteriores, que refleja su nivel general de bienestar
• Datos de dispositivos que usted conecta: frecuencia cardíaca, sueño medido, pasos y los demás datos descritos en la sección 3.6

3.3. Datos de uso e interacción con la IA

• Mensajes enviados al asistente conversacional (chat IA)
• Grabaciones de audio y sus transcripciones (cuando utiliza la función de voz)
• Historial de interacciones para la personalización de las respuestas
• Registros de uso de la IA (modelo utilizado, tokens, coste) — utilizados únicamente para la facturación interna de su suscripción

3.4. Datos técnicos y de diagnóstico

• Tipo de dispositivo, sistema operativo y versión
• Identificadores únicos de la aplicación (no vinculados directamente a su identidad fuera de la Aplicación)
• Zona horaria
• Informes de fallos (crash reports) — recopilados a través de Firebase Crashlytics
• Métricas de uso agregadas y anónimas — a través de Firebase Analytics (puede desactivarlas en los ajustes)

3.5. Datos de suscripción

• Estado de la suscripción (plan actual, fecha de renovación, créditos consumidos)
• Identificador anónimo de transacción proporcionado por Apple App Store o Google Play Store

No recopilamos datos bancarios ni números de tarjeta de crédito. Los pagos se gestionan exclusivamente por Apple y Google en sus respectivos sistemas, según sus propias políticas de privacidad.

3.6. Datos de dispositivos y servicios que usted conecta (opcional)

Ninguna conexión se produce sin su acción: cada una la activa usted en Ajustes > Integraciones y puede desactivarse en cualquier momento.

• Health Connect (Android): con los permisos que usted concede en el propio Health Connect, Atymus puede leer entrenamientos (tipo, hora, duración, distancia, calorías, frecuencia cardíaca, desnivel), pasos, sueño, frecuencia cardíaca en reposo y variabilidad de la frecuencia cardíaca. Atymus no lee el peso ni la grasa corporal de Health Connect: los pesajes vienen solo de lo que usted registra en Atymus. Puede retirar cada permiso en el propio Health Connect. Atymus solo lee: nunca escribe en Health Connect, y la lectura se realiza con la Aplicación abierta.
• Polar (conexión directa, función Premium): al conectar su cuenta Polar Flow, usted autoriza a Polar Electro Oy a enviarnos, a través de la API oficial de Polar (AccessLink): los entrenamientos enviados a su cuenta después de la conexión (deporte, hora, duración, calorías, distancia, frecuencia cardíaca media, máxima y a lo largo del entrenamiento, tiempo en cada zona de frecuencia cardíaca, los límites de cada zona, la carga cardio calculada por Polar y el dispositivo que registró el entrenamiento), la actividad del día (pasos, calorías activas, distancia), sus noches (duración y fases del sueño, y la variabilidad de la frecuencia cardíaca que Polar mide durante la noche) y su perfil de condición física en Polar (VO2max, frecuencia cardíaca máxima y en reposo, umbrales aeróbico y anaeróbico). El peso, la altura, la fecha de nacimiento y el género que Polar envía junto con este perfil se descartan al llegar: no los conservamos.
• Lo que conservamos para mantener la conexión con Polar: el identificador de su cuenta Polar y la credencial de acceso (token) emitida por Polar, cifrada con una clave propia. A Polar solo le enviamos un identificador opaco, necesario para registrar la conexión; ninguno de sus datos de salud o de perfil se envía a Polar.
• Al desconectar, pedimos a Polar que revoque el acceso y eliminamos la credencial. Los entrenamientos ya recibidos permanecen en su historial, como cualquier registro suyo, hasta que usted los elimine.
• Cuando el mismo entrenamiento llega por dos caminos (por ejemplo, por Polar y por Health Connect), conservamos una sola copia.
• Los datos importados se tratan como los que usted registra: aparecen en sus pantallas con su origen indicado, pueden incluirse en los análisis de la IA (sección 12) y siguen los mismos plazos de conservación y derechos descritos en esta Política. Nunca se venden ni se usan con fines publicitarios.
• Recorrido de las actividades al aire libre (ubicación): cuando un entrenamiento al aire libre (carrera, caminata, senderismo, bicicleta) se graba con GPS, Polar nos envía el camino recorrido (puntos de latitud y longitud a lo largo del entrenamiento); de Health Connect, el camino solo se lee si usted concede el permiso específico de recorrido. Solo guardamos un dibujo simplificado del camino, sin el inicio ni el fin (por defecto, se cortan 200 m de cada extremo antes de guardarlo, para proteger la zona de su casa), y las marcas de cada kilómetro. El recorrido solo sirve para dibujar el mapa en el detalle de la actividad: no se usa en los análisis de la IA ni en el chat, y solo llega a su coach si usted dejó «Tus entrenamientos» activado para él (sección 3.7). En Ajustes > Privacidad y documentos > Recorrido de las actividades puede dejar de recibir el recorrido, cambiar el tramo oculto (nada, 200 m o 500 m) y borrar los recorridos guardados; borrar un entrenamiento también borra su recorrido.
• Polar es responsable de los datos de su cuenta Polar, según su propia política de privacidad: https://www.polar.com/en/legal/privacy-notice

3.7. Compartir con su coach (Atymus Studio)

Atymus Studio es la herramienta del profesional que le acompaña (entrenador personal, coach). Solo ve sus datos si usted acepta su invitación en la App, y solo lo que usted deje activado en Tu coach > Lo que él ve. Puede cambiarlo o terminar el vínculo cuando quiera: desactivar no avisa a nadie, y terminar el vínculo corta el acceso de inmediato.

Lo que muestra cada interruptor (todos empiezan activados, salvo la recuperación):

• Tus entrenamientos: sus sesiones y cómo salieron (duración, distancia, ritmo, frecuencia cardíaca y zonas, esfuerzo, series y cargas, sus comentarios), sus pasos y, en las actividades al aire libre grabadas con GPS, el mapa del recorrido: el mismo dibujo simplificado descrito en la sección 3.6, sin el inicio y el final que usted oculta. Con «Todo, no solo su programa» desactivado, el coach solo ve los entrenamientos que prescribió.
• Su recuperación (empieza desactivada): el sueño y la frecuencia cardíaca en reposo de su reloj.
• Nutrición: sus metas; lo que comió; lo que había en cada comida.
• Planificación: su semana.
• Composición corporal: peso, grasa, masa magra y medidas.
• Antes del vínculo: los 60 días anteriores a su aceptación.

Su coach no ve sus conversaciones con la IA, sus datos de pago ni nada que esté desactivado. Si usted desactiva el recorrido en Ajustes > Privacidad y documentos > Recorrido de las actividades, el mapa deja de aparecer también para él. Su coach es un profesional independiente y responde del uso que hace de lo que ve; Atymus solo muestra lo que usted autorizó.

La conversación con su coach, el WhatsApp y las citas. Con el vínculo activo, usted y su coach pueden conversar en Atymus, y solo ustedes dos leen esa conversación:

• Lo que se guarda: los mensajes (texto, fotos y lo que se cite: un entrenamiento, una idea de comida, un pesaje o una cita), cuándo los leyó cada uno (el «Visto») y el silencio que usted elija. Su coach también puede enviar el mismo mensaje a varios alumnos a la vez: llega a la conversación de cada uno, marcado «para varios alumnos».
• Las fotos suben a través de nuestro servidor y se guardan con un enlace privado, nunca público. Se borran cuando termina el vínculo y cuando se elimina la cuenta.
• Cuando termina el vínculo, usted sigue pudiendo leer la conversación, pero ya no escribir, y puede borrarla cuando quiera en Tus datos > Conversaciones con coaches anteriores; su coach pierde el acceso y las fotos se borran. Si usted elimina su cuenta, sus conversaciones se borran, con las fotos (sección 7.3).
• Avisos en el móvil: el nombre de su coach y el comienzo del mensaje pasan por Firebase Cloud Messaging (Google) para que el aviso aparezca. Puede silenciar una conversación o desactivar «Mensajes de tu coach» en los ajustes de la campana. Si responde desde el propio aviso, la respuesta va directamente a nuestro servidor.
• Su WhatsApp: si usted indica su número en la pantalla de su coach, solo su coach lo ve. Puede cambiarlo o borrarlo cuando quiera, y se borra cuando termina el vínculo.
• Las citas que su coach programa (una evaluación o una conversación) llegan a la App con el tipo, el día, la hora y el lugar, y guardan su respuesta («Voy» o «No podré»). El recordatorio 1 hora antes lo programa el propio móvil. Si su coach se suscribe a su agenda en un calendario (Google, Apple), las citas aparecen allí con el tipo y su nombre de pila, sin notas.

4. Para qué utilizamos sus datos (finalidades)

Importante: el tratamiento de datos sensibles de salud solo se realiza con su consentimiento explícito, recogido durante el onboarding inicial y revocable en cualquier momento. Puede retirar este consentimiento en cualquier instante — en cuyo caso interrumpiremos el tratamiento y es posible que no podamos prestar el servicio.

5. Quién tiene acceso a sus datos (encargados de tratamiento)

No vendemos sus datos. Solo compartimos con proveedores técnicos estrictamente necesarios para el funcionamiento de la Aplicación. Cada uno de ellos está obligado contractualmente a cumplir el RGPD mediante un acuerdo de tratamiento de datos (Data Processing Agreement).

Transferencia internacional de datos: algunos de los proveedores anteriores procesan datos fuera de la Unión Europea, en particular en Estados Unidos. Estas transferencias se realizan en base a las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, conforme al artículo 46 del RGPD. Puede solicitar una copia escribiendo a admin@atymus.com.

Servicios que usted conecta: Google Health Connect y Polar no son encargados del tratamiento de Atymus: son servicios suyos, que nos envían datos porque usted lo autorizó. Polar Electro Oy (Professorintie 5, 90440 Kempele, Finlandia) trata los datos de su cuenta Polar como responsable independiente.

Mapas: las imágenes del mapa de fondo vienen de OpenFreeMap (servicio público de mapas, basado en OpenStreetMap). La App pide esas imágenes directamente a ese servicio, como cualquier mapa en internet: la solicitud lleva la dirección IP del dispositivo y la zona mostrada, nunca su camino ni su cuenta.

6. Durante cuánto tiempo conservamos sus datos

Puede solicitar la eliminación inmediata de su cuenta en cualquier momento (ver sección 7).

7. Sus derechos

De conformidad con los artículos 15 a 22 del RGPD, dispone de los siguientes derechos sobre sus datos personales:

7.1. Derecho de acceso (art. 15)

Puede consultar en cualquier momento todos los datos que recopilamos sobre usted, directamente en las pantallas de la Aplicación.

7.2. Derecho de rectificación (art. 16)

Puede corregir o actualizar su información en los ajustes de la Aplicación (Perfil, Objetivos, Preferencias).

7.3. Derecho de supresión («derecho al olvido», art. 17)

Puede eliminar su cuenta y todos los datos asociados en cualquier momento, en Ajustes > Cuenta > Eliminar mi cuenta. El proceso es irreversible y elimina: - Su cuenta de autenticación - Todos los registros (comidas, entrenamientos, sueño, mediciones, bioimpedancia) - Historial de chat con la IA - Ajustes y preferencias - Fotos subidas - La conexión con su cuenta Polar (el acceso se revoca en Polar y la credencial se elimina) - El vínculo con su coach, si lo hay: termina, y su correo, su WhatsApp, las notas que él tomó sobre usted, las citas y la conversación entre ustedes se borran del registro del coach

Las copias de seguridad se eliminan en un plazo de 30 días tras la solicitud. Los registros sujetos a obligación legal de conservación (consentimiento, facturación) se conservan únicamente durante los plazos mínimos exigidos por ley y en forma reducida.

7.4. Derecho a la portabilidad (art. 20)

Puede exportar todos sus datos en formato estructurado (JSON) en Ajustes > Cuenta > Exportar mis datos. El archivo incluye: perfil, comidas, entrenamientos, sueño, mediciones, bioimpedancia, objetivos, historial de consentimiento, datos de suscripción y las conversaciones con su coach. La credencial de acceso a los servicios conectados no forma parte de la exportación: es una clave de acceso, no un dato suyo.

7.5. Derecho de oposición (art. 21)

Puede oponerse al tratamiento de datos no esenciales (analytics, crash reports) en Ajustes > Privacidad > Telemetría.

7.6. Derecho de limitación (art. 18)

En circunstancias específicas (impugnación de la exactitud, oposición en revisión), puede solicitar la suspensión temporal de determinados tratamientos. Escriba a admin@atymus.com.

7.7. Derecho a retirar el consentimiento (art. 7)

Puede retirar su consentimiento al tratamiento de datos sensibles en cualquier momento. Esto interrumpe inmediatamente el uso de estos datos y puede implicar la imposibilidad de seguir utilizando la Aplicación. La retirada no afecta a la licitud del tratamiento realizado antes de ella.

7.8. Derecho de reclamación

Si considera que el tratamiento de sus datos vulnera el RGPD, puede presentar una reclamación: - En Francia: Comisión Nacional de Informática y Libertades (CNIL) — https://www.cnil.fr - En otros países de la UE: autoridad nacional de protección de datos de su país de residencia (lista oficial: https://edpb.europa.eu/about-edpb/about-edpb/members_en) - En España: Agencia Española de Protección de Datos (AEPD) — https://www.aepd.es/

8. Cómo ejercer sus derechos

La mayoría de los derechos pueden ejercerse directamente en la Aplicación (Ajustes). Para cualquier pregunta o solicitud que requiera nuestra intervención, escriba a:

admin@atymus.com

Responderemos en un plazo de 30 días, prorrogable a 60 días en caso de solicitud compleja, con notificación previa. Nos reservamos el derecho a solicitar prueba de identidad en caso de duda razonable.

9. Seguridad de los datos

Implementamos medidas técnicas y organizativas apropiadas para proteger sus datos:

• Cifrado en tránsito: todas las comunicaciones entre la Aplicación y nuestros servidores se realizan mediante HTTPS/TLS 1.2+
• Cifrado en reposo: los datos almacenados en Firebase Firestore se cifran automáticamente en AES-256 con claves gestionadas por Google Cloud
• Control de acceso: las reglas de seguridad restrictivas de Firestore garantizan que cada usuario solo pueda acceder a sus propios datos; ningún dato se comparte entre cuentas, salvo con el coach que usted aceptó, y solo lo que usted autorizó (sección 3.7)
• Autenticación fuerte: delegada a Firebase Authentication, con soporte futuro para autenticación multifactor
• Auditoría: se conservan registros de acceso y acciones para la detección de incidentes
• Copias de seguridad: copias automatizadas de Firestore con retención de 30 días, almacenadas en región UE
• Credenciales de servicios conectados: la credencial de acceso a su cuenta Polar se guarda cifrada, con una clave propia, en un área que la Aplicación no lee, y nunca aparece en las exportaciones
• Actualización continua: corrección rápida de vulnerabilidades de seguridad mediante Dependabot y GitHub Security

En caso de violación de datos que suponga un riesgo para sus derechos, le notificaremos por correo electrónico en un plazo de 72 horas desde que tengamos conocimiento, y notificaremos a la CNIL conforme al artículo 33 del RGPD.

10. Cookies y rastreadores

La Aplicación no utiliza cookies (no es una aplicación web). Utilizamos exclusivamente:

• Identificadores anónimos de Firebase (instance ID) para el funcionamiento técnico
• Crashlytics y Firebase Analytics con identificadores no vinculados a su identidad personal fuera de la Aplicación

Puede desactivar Crashlytics y Analytics en Ajustes > Privacidad > Telemetría.

Atymus no muestra publicidad, no comparte datos con redes publicitarias, y no realiza perfiles publicitarios.

11. Menores de edad

Atymus está destinado a usuarios de 15 años cumplidos o más, conforme al umbral fijado por la legislación francesa para el consentimiento autónomo al tratamiento de datos personales. No recopilamos intencionadamente datos de menores de 15 años.

Si es representante legal y descubre que un menor de 15 años ha creado una cuenta sin su consentimiento, escriba a admin@atymus.com para solicitar el cierre inmediato y la eliminación de los datos.

12. Inteligencia Artificial — información específica

Atymus integra un asistente conversacional basado en modelos lingüísticos a gran escala (Google Gemini). Dado el carácter sensible de esta tecnología:

• Sus mensajes enviados al chat son transmitidos a Google (encargado de tratamiento) para generar respuestas. Google se compromete contractualmente a no utilizar sus mensajes para entrenar modelos públicos (ver Google Cloud DPA).
• Las respuestas de la IA pueden contener imprecisiones. Ninguna respuesta debe interpretarse como consejo médico, nutricional o deportivo profesional.
• La IA NO realiza diagnósticos. Las instrucciones del sistema de Atymus indican explícitamente al modelo que rechace los diagnósticos y recomiende un profesional sanitario para cualquier cuestión clínica.
• Los datos sensibles incluidos en el chat (p. ej., «me duele la rodilla») se tratan como cualquier otro mensaje y están sujetos a las mismas reglas de conservación y derechos. Le recomendamos no incluir información ultrasensible (números de documentos, datos bancarios) en el chat.
• Los registros de uso de la IA (tokens, coste, agente activado) se conservan para la facturación del plan y la auditoría interna; el contenido de la conversación se vincula a su perfil para la personalización.

Puede solicitar la eliminación de sus datos de chat en cualquier momento mediante el derecho de supresión (sección 7.3).

13. Modificaciones de esta Política

La presente Política puede actualizarse para reflejar evoluciones legales, técnicas o funcionales. En caso de modificación sustancial (introducción de un nuevo encargado, cambio de finalidades, modificación del plazo de conservación), se le notificará:

1. Por correo electrónico a la dirección asociada a su cuenta
2. Mediante mensaje en la Aplicación en la siguiente apertura
3. Si la modificación afecta a la base jurídica «consentimiento», solicitaremos un nuevo consentimiento explícito antes de continuar

La versión actual de la Política está siempre disponible en Ajustes > Acerca de > Política de Privacidad y en la dirección pública https://atymus.com/privacy-es.html.

14. Contacto

Para cualquier cuestión relativa a la protección de sus datos personales:

📧 admin@atymus.com

📍 Felipe Oliveira · Aix-en-Provence, Francia

La presente Política de Privacidad ha sido redactada para su uso en jurisdicciones de la Unión Europea, con un enfoque en el cumplimiento del RGPD y las recomendaciones de la CNIL. La expansión formal a otros mercados (Brasil, Estados Unidos, etc.) será objeto de una actualización específica en una versión futura. La versión francesa es la referencia jurídica; esta versión en español es informativa.