Política de privacidad.

1 Responsable

BSNS GmbH es el responsable del tratamiento descrito en esta política. Cubre los sitios web yourkata.com y docs.yourkata.com, la app web de Kata en app.yourkata.com y las apps móviles de Kata para iOS y Android.

BSNS GmbH no ha designado, ni está obligada a designar, un delegado de protección de datos. Para cualquier asunto de privacidad, contact@yourkata.com es la línea directa con las personas responsables.

2 La versión corta

Tus datos de salud te pertenecen. Todos los registros, chats, fotos y la memoria que Kata tiene de ti se escriben en tu dispositivo, no en una base de datos de contenidos nuestra: tanto en el navegador como en las apps móviles. Nunca te mostramos publicidad, nunca vendemos datos y nunca perfilamos tus datos de salud. La única medición que hacemos es una analítica de visitas básica y agregada en este sitio de marketing (Google Analytics), que puedes rechazar en el aviso y que nunca toca tus datos de salud ni de cuenta (sección 4). Más allá de la dirección de email y el identificador de cuenta con los que inicias sesión, dos cosas salen de tu dispositivo: tu mensaje a Kata, enviado a la IA para generar tu respuesta y que no conserva nadie, ni siquiera nosotros; y, en Android y web, una instantánea de restauración de tu cuenta, cifrada en tu dispositivo antes de subirse, con una clave que nunca recibimos. Esa instantánea la guardamos como texto cifrado, no tenemos medios técnicos para abrirla, y tus fotos nunca están dentro (sección 7). Dos funciones que activas tú añaden algo más, a propósito: Kata Duo comparte un valor sí o no al día con las personas que invitas, y nada sobre lo que hiciste (sección 14), y un envío seguro manda un resumen que compones tú a una persona que indicas tú, sellado en tu dispositivo y por tanto ilegible también para nosotros (sección 15).

3 Marco legal

Tratamos los datos personales de acuerdo con la Ley federal suiza de protección de datos (LPD/FADP, versión revisada en vigor desde el 1 de septiembre de 2023) y, donde aplica a usuarios del Espacio Económico Europeo, el Reglamento General de Protección de Datos de la UE (RGPD). Cuando esta política menciona una base legal, se refiere al art. 6, apdo. 1 del RGPD; bajo la LPD, el tratamiento aquí descrito queda cubierto por los principios del art. 6 LPD y no se basa en el consentimiento salvo que se indique.

4 Visitas al sitio web

• Analítica: este sitio usa Google Analytics (proporcionado por Google Ireland Limited) para medir visitas y tráfico de forma agregada: páginas vistas, región aproximada a partir de una dirección IP abreviada, tipo de dispositivo y navegador, y cómo llegaste. Instala sus propias cookies. Son datos de uso anónimos y agregados solo sobre el sitio; nunca se vinculan a tu cuenta de Kata y nunca incluyen datos de salud ni de cuenta personal. Solo se carga si lo aceptas en el aviso de consentimiento, y puedes rechazarlo. Base jurídica: tu consentimiento (art. 6 (1) (a) RGPD; LPD suiza).
• Aviso de consentimiento: la analítica solo se carga después de que la aceptes. Tu elección, aceptada o rechazada, se recuerda como un único indicador en el localStorage de tu navegador, y hasta que aceptes no se instala ninguna cookie de analítica ni se envía ningún dato de analítica. Borrar ese almacenamiento te permite elegir de nuevo.
• Hosting: Vercel Inc., EE. UU., entrega el sitio web y procesa registros técnicos de servidor (dirección IP, hora de la petición, agente de usuario) para operar y defender el servicio (interés legítimo). El tratamiento puede tener lugar en la UE y en EE. UU.; las transferencias están cubiertas por las cláusulas contractuales tipo de la UE y las normas suizas sobre flujos transfronterizos de datos.
• Las fuentes están alojadas por nosotros y se sirven desde el mismo alojamiento que las páginas. No se contacta con ningún servicio de fuentes de terceros, y ninguna petición tuya llega a uno.

5 Formularios del sitio (contacto y colaboraciones)

Si usas el formulario de contacto o de colaboraciones, tratamos los datos que envías (nombre, dirección de email, tema, empresa si la indicas, y tu mensaje) para responder a tu solicitud (ejecución de un contrato o medidas precontractuales; interés legítimo para consultas generales). Los mensajes llegan a nuestros buzones a través de Resend, Inc., EE. UU., que actúa como nuestro encargado, y se conservan el tiempo necesario para gestionar la conversación y su seguimiento. Los datos de los formularios nunca se usan para publicidad y nunca se comparten fuera de este fin.

6 App: datos de cuenta

Para crear y proteger tu cuenta tratamos tu dirección de email, un identificador de usuario (el ID de tu cuenta), tu método de autenticación y las marcas de tiempo de autenticación, en todas las superficies (web y apps móviles). La autenticación la proporciona Supabase, nuestro encargado, con el proyecto alojado en la UE (región de Zúrich). Puedes iniciar sesión con email y contraseña, Google, Apple o un enlace mágico; cuando usas un inicio de sesión de terceros, ese proveedor nos confirma tu identidad y nosotros almacenamos solo tu dirección de email y este ID de cuenta. Si inicias sesión con Apple y eliges «Ocultar mi correo», Apple nos da una dirección de relay privada en lugar de tu email real; nuestros emails transaccionales se envían a ese relay y Apple los reenvía hasta ti. Supabase no guarda datos de salud legibles. Qué más hay en esa base de datos se describe en las secciones 7, 14 y 15: texto cifrado que no podemos abrir y, si usas Kata Duo, un valor sí o no al día.

7 Tus datos de salud y dónde viven

Kata es local-first en todas las superficies. Todos los registros de salud (peso, comida, agua, entrenamiento, sueño, suplementos), tu historial de chat, la memoria que Kata tiene de ti, tus fotos y tu registro de decisiones se escriben en tu dispositivo: en el almacenamiento del navegador en la app web (localStorage para ajustes y registros estructurados, IndexedDB para contenido mayor como las fotos) y en el almacenamiento local de la app en iOS y Android. Es el único sitio donde todo eso existe en claro. No operamos ninguna base de datos de contenidos, y en nuestro lado no hay nada que pudiéramos abrir, leer o entregar. Si eliminas la app o borras sus datos de sitio, desaparecen; la exportación integrada existe para que puedas hacer una copia antes.

Una cosa sí sale de tu dispositivo, y es exactamente esta. Para que un móvil perdido o sustituido no signifique una historia perdida, la app guarda una única instantánea de restauración de tu cuenta. En iOS va a tu propio iCloud privado y nunca a nosotros (sección 11). En Android y en la web, donde no hay una nube privada por persona en la que apoyarse, la guardamos como una fila por cuenta. Antes de que esa instantánea salga de tu dispositivo, allí se cifra con AES-256-GCM, con una clave aleatoria de 256 bits que se genera en tu dispositivo, se guarda en su almacenamiento seguro y se te muestra una vez como tu código de recuperación. Esa clave nunca se nos envía de ninguna forma: ni en la fila, ni en una columna, ni en una cabecera de la petición, ni en un registro técnico.

La fila guarda el sobre sellado y nada más: un marcador de formato, un número de versión, el nombre del algoritmo, el vector de inicialización aleatorio, el texto cifrado, la hora del sellado y la versión de esquema de los datos de dentro. A su lado no se guarda ninguna clave, ningún identificador de clave, ningún hash de la clave, ninguna sal y ningún valor de comprobación, así que en nuestro lado no hay nada contra lo que siquiera se pudiera probar una conjetura. Guardamos texto cifrado que no tenemos medios técnicos de leer, y solo tú tienes lo que lo abre. Tus fotos nunca forman parte de esta instantánea. La seguridad a nivel de fila es el segundo cerrojo: la fila está atada a tu cuenta con sesión iniciada y ninguna otra cuenta llega a ella. Se actualiza como mucho una vez cada seis horas, se sobrescribe cada vez y se elimina junto con tu cuenta. Si tu dispositivo no puede cifrar, no se sube nada en absoluto.

Los datos de salud que importas desde Apple HealthKit o Google Health Connect se tratan exactamente como cualquier otra entrada de salud: viven en tu dispositivo y nunca nos llegan en claro.

8 Coach de IA

Cuando hablas con Kata, tu mensaje y el contexto mínimo necesario para responderlo se transmiten por una conexión cifrada a nuestro proveedor de IA (actualmente Anthropic PBC, EE. UU.) y se procesan allí de forma transitoria para generar la respuesta. No almacenamos el contenido de estas peticiones en nuestros servidores; registramos únicamente conteos agregados de tokens por cuenta para el control de costes. La entrada por voz se transcribe y las fotos se analizan de la misma manera, solo cuando tú las envías.

9 Señales de producto abstraídas

Para mejorar Kata, entender a nuestra audiencia y aplicar el uso razonable, almacenamos un pequeño conjunto de señales abstraídas y no personales por cuenta: conteos de aperturas de la app y marcas de última actividad; cifras agregadas de uso de IA (conteos de tokens por cuenta, nunca contenido de mensajes); un resumen abstracto de persona que la app calcula en tu dispositivo (una palabra de arquetipo más rasgos gruesos como nivel de actividad, tipos de deporte principales, consistencia al comer, patrón de sueño, fase actual, género autodeclarado opcional, país y zona horaria); la atribución de invitaciones y vales; y tu plan de suscripción.

Explícitamente nunca guardado en claro en nuestros servidores: tus chats y tu historial de conversación, tus registros de salud, la memoria que Kata tiene de ti y tu registro de decisiones. Tus fotos no se nos suben en absoluto. El resto solo nos llega dentro de la instantánea de cuenta cifrada descrita en la sección 7, como texto cifrado que no podemos abrir. Las señales abstraídas enumeradas aquí se calculan en tu dispositivo y no pueden usarse para reconstruir nada de eso. Base legal: nuestro interés legítimo en operar y mejorar el servicio (art. 6, apdo. 1, letra f del RGPD; LPD suiza).

Otras dos cosas en nuestros servidores derivan de la salud sin ser señales de producto, porque solo existen mientras tú las pides: el valor diario sí o no de Kata Duo (sección 14) y el resumen sellado de un envío seguro (sección 15). Se nombran aquí para que esta sección siga siendo una imagen completa de lo que guardamos, y cada una se describe entera en su propia sección.

10 Registros de consentimiento

Cuando aceptas los Términos del servicio o das un consentimiento en la app, almacenamos el registro de esa aceptación: la versión del documento, la marca de tiempo, la superficie (web, iOS o Android) y el idioma en el que aceptaste. Estos registros prueban la celebración del contrato y los consentimientos que diste. Base legal: ejecución de un contrato y cumplimiento de obligaciones legales (art. 6, apdo. 1, letras b y c del RGPD; LPD suiza). Se conservan mientras exista tu cuenta y, después, durante los plazos de prescripción legales aplicables.

11 Apps móviles: permisos y notificaciones push

• Notificaciones push: si las activas, se procesa un token push vinculado a tu cuenta para entregar las notificaciones, a través de Google Firebase Cloud Messaging tanto en iOS como en Android (en iOS se apoya por debajo en el servicio Apple Push Notification). El token es un identificador que sirve únicamente para entregar las notificaciones que redacta Kata: nunca para tracking ni publicidad, no usamos ningún Firebase Analytics, y a Firebase no se envía ningún dato personal ni de salud, solo el token y el texto de la notificación. Los tokens se eliminan cuando desactivas las notificaciones o eliminas tu cuenta.
• Copia de seguridad en iCloud (iOS): puedes respaldar tus datos locales de Kata en tu propio iCloud privado (base de datos privada Apple CloudKit) y restaurarlos en tus dispositivos. La instantánea se cifra antes en tu dispositivo y va a tu cuenta de iCloud personal, bajo tu ID de Apple, nunca a nuestros servidores, y no se comparte con nadie; queda por completo bajo tu control. Apple proporciona tu almacenamiento de iCloud.
• Cámara, micrófono y galería de fotos: se accede a ellos solo cuando tomas o adjuntas una foto activamente, o cuando hablas con Kata. El acceso ocurre localmente en tu dispositivo; el contenido se transmite solo en el momento en que lo envías a Kata (sección 8) y nosotros no lo almacenamos.
• Apple HealthKit y Google Health Connect: los datos de salud que decides importar se quedan en tu dispositivo como todo el contenido de salud (sección 7). No los recibimos, no los almacenamos, no los compartimos y nunca los usamos para publicidad.
• Las etiquetas de privacidad que se muestran en el App Store de Apple y en Google Play describen las mismas prácticas que esta política. Si alguna vez una etiqueta y esta política parecieran diferir, esta política es la descripción autorizada de lo que hacemos.

12 Integración con WHOOP

Conectar WHOOP es opcional. Los tokens OAuth se guardan en tu dispositivo, ilegibles para los scripts donde la plataforma lo permite, y se usan únicamente para obtener tus datos de recuperación, HRV, sueño y esfuerzo y mostrarlos en tu dispositivo; no se almacenan en ninguna base de datos de servidor. Puedes revocar la conexión en cualquier momento en la app o en los ajustes de tu cuenta de WHOOP.

13 Invita a un amigo

Si invitas a un amigo, tratamos la dirección de email invitada y el estado de la recompensa (meses regalados y ganados) para operar Invita a un amigo. Las direcciones invitadas se usan solo para la invitación y el emparejamiento de la recompensa, nunca para listas de marketing.

14 Kata Duo y Kata Groups

Kata Duo es opcional y solo existe desde el momento en que lo inicias: compartes un enlace de invitación y quien lo acepta pasa a ser uno de tus cinco compañeros de duo como máximo. Para que un emparejamiento funcione guardamos los dos identificadores de cuenta, el código de invitación aleatorio, si el emparejamiento sigue pendiente o está activo, una marca por lado para ocultar a alguien en tu propio perfil y los momentos de creación y de incorporación. El nombre que le pones a un compañero no forma parte de eso: se queda en el dispositivo donde lo escribiste, tu compañero no lo ve nunca y nosotros tampoco.

Lo que Duo comparte de verdad es una fila por persona y día, con tu identificador de cuenta, la fecha y un único valor sí o no: si ese día mantuviste tu forma. Tu dispositivo calcula ese valor a partir de tu propio día local, y no dice nada sobre lo que hiciste. Ningún registro, ninguna cifra, ninguna puntuación, ninguna racha, ningún contenido de ningún tipo y nada sobre qué fue lo mantenido. Un día sin nada registrado no produce fila alguna, y por eso el tercer estado que ve tu compañero es un gris honesto y no una afirmación. Solo una cuenta con la que tienes un emparejamiento activo puede leer tus filas, y ese límite lo impone la propia base de datos; cuando cualquiera de los dos lados termina el duo, el emparejamiento y la visibilidad caen de inmediato, en ambos sentidos.

Base jurídica: tu consentimiento, dado al crear o aceptar una invitación de duo y retirado al terminar el duo (art. 6 (1) (a) y, porque el valor deriva de tu uso en salud, art. 9 (2) (a) RGPD; LPD suiza). Conservación: como parte de su escritura diaria la app borra tus propias filas en cuanto superan los 21 días, de modo que nunca existen más de unas tres semanas de valores sí o no. Terminar un duo elimina el emparejamiento de inmediato, y todo se va cuando eliminas tu cuenta.

Kata Groups es el mismo mecanismo para más de dos personas, y no guarda más de lo que guarda Kata Duo. Cuando inicias un grupo almacenamos un identificador de grupo, un nombre de grupo y una etiqueta para la única cosa que el grupo sigue, los códigos de invitación aleatorios y, por cada miembro, un identificador de cuenta y un nombre visible propio del grupo. Lo que un grupo comparte es el mismo único valor sí-o-no por miembro y día, si ese miembro cumplió el día, y nada sobre lo que hizo nadie: ningún registro, ningún número, ninguna puntuación, ningún contenido de ningún tipo. Solo los miembros de un grupo pueden leer las filas de ese grupo, y ese límite se aplica en la propia base de datos; tus valores y tu pertenencia se van en el momento en que dejas el grupo o eliminas tu cuenta. La base legal, y la derivación del valor a partir de tu uso de salud, son las mismas que para Kata Duo más arriba.

15 Envío seguro a un médico u otra persona que elijas

Puedes enviar un resumen con exactamente lo que selecciones a una persona que indiques, normalmente un médico. Solo ocurre si tú lo pides, y ocurre así. El resumen se compone en tu dispositivo y allí se cifra con AES-256-GCM. La clave va en el propio enlace, en la parte de la dirección que los navegadores nunca envían a un servidor, así que llega a tu destinatario y nunca a nosotros. Guardamos una fila por envío: el texto cifrado, tu identificador de cuenta como propietario, un hash SHA-256 con sal de la dirección de email del destinatario, la caducidad y los momentos de creación y de primera apertura.

La dirección en sí no se guarda, solo ese hash, con la sal del propio identificador del envío para que no pueda resolverse contra una lista de direcciones habituales. Existe para que la invitación y el código de acceso lleguen al buzón invitado y a ningún otro. El enlace de invitación pasa una sola vez por la petición para que el email de invitación pueda llevarlo, y no se guarda nunca. Para abrir un envío el destinatario confirma la dirección invitada con un código de 6 dígitos, así que también conservamos la contabilidad que esa comprobación necesita: un hash del código activo, su validez de diez minutos, el número de intentos fallidos, limitado a cinco, el número de códigos enviados y el momento del último. El código sirve una sola vez y el código en sí no se guarda nunca. Todo lo demás es texto cifrado: no tenemos medio técnico alguno para leer el resumen, y sin el enlace tampoco lo tiene nadie más.

Base jurídica: tu consentimiento, dado cada vez que creas un envío y retirado al revocarlo (art. 6 (1) (a) y art. 9 (2) (a) RGPD; LPD suiza). Conservación: un envío caduca 14 días después de crearlo, y una fila caducada se borra por completo en el siguiente acceso. Puedes revocar un envío en cualquier momento en la app, lo que elimina la fila y con ella el texto cifrado, y los envíos se van con tu cuenta. La creación está limitada a diez envíos por cuenta y día.

16 Datos de pago y suscripción

Cuando contratas un plan de pago, tratamos los datos necesarios para tu suscripción: tu plan y su estado, el periodo de facturación, la moneda y el país usados para el impuesto, un identificador de cliente y de suscripción, y un registro de pagos y reembolsos. No recibimos ni almacenamos el número completo de tu tarjeta; los datos de la tarjeta los gestiona el proveedor de pago.

• Compras en la web: los pagos los procesa Stripe (Stripe Payments Europe, Ltd., Irlanda, con Stripe, Inc., EE. UU.), que gestiona los datos de tu tarjeta y calcula el impuesto aplicable. Recibimos la confirmación de la suscripción y los datos de facturación limitados anteriores, nunca el número completo de la tarjeta.
• Compras en la App Store: Apple es el vendedor y procesa el pago; recibimos el estado de suscripción verificado (producto, periodo, renovación y cancelación) necesario para desbloquear tu plan, no tus datos de pago.
• Compras en Google Play: Google es el vendedor y procesa el pago; recibimos el estado de suscripción verificado necesario para desbloquear tu plan, no tus datos de pago.

Base jurídica: ejecución de tu contrato de suscripción y cumplimiento de nuestras obligaciones legales, incluida la conservación fiscal y contable (art. 6 (1) (b) y (c) RGPD; LPD suiza). Los registros de facturación se conservan durante los plazos de conservación legales.

Bienestar corporativo: si una organización, por ejemplo tu empleador, cubre tu plan, guardamos tu pertenencia a esa organización (la dirección de email que invitó, si la plaza está invitada, unida o retirada, y el plan que concede su acuerdo) para poder aplicar y retirar la cobertura. La persona responsable de la organización solo ve el uso: el estado de pertenencia de las personas que invitó, y plazas, activación y miembros activos como cifras del grupo, calculadas solo cuando se han unido al menos cinco miembros, para que nadie pueda ser señalado. La organización nunca ve tus datos de salud, tus registros, tus chats ni la memoria que Kata tiene de ti: nada de eso existe en forma legible en nuestros servidores, ni para la organización ni para nosotros. Base jurídica: ejecución del contrato que cubre tu plaza (art. 6 (1) (b) RGPD; LPD suiza). Salir de la organización, o ser retirado de ella, termina la cobertura y deja intactos tus propios datos.

17 Destinatarios y transferencias al extranjero

• Supabase (autenticación, y la base de datos que aloja la instantánea de cuenta cifrada, los emparejamientos y valores diarios de Kata Duo y los envíos seguros sellados): proyecto alojado en la UE, región de Zúrich.
• Anthropic (procesamiento de IA): EE. UU., solo procesamiento transitorio.
• ElevenLabs (voces Kata, solo en los planes de pago: la lectura en voz alta de tu resumen semanal y de tus cartas, las notas de voz ocasionales de Mégane, y las respuestas habladas cuando hablas con Kata): EE. UU., solo procesamiento transitorio, el texto se convierte en audio y no se guarda.
• Resend (email transaccional, incluidas la invitación y el código de acceso de un envío seguro): EE. UU.
• Vercel (hosting): UE y EE. UU.
• Stripe (procesamiento de pagos para las compras en la web): Stripe Payments Europe, Ltd., Irlanda, con tratamiento por Stripe, Inc., EE. UU.
• Apple y Google (procesamiento de pagos y suscripciones para las compras realizadas en la App Store y Google Play): EE. UU.
• Google Analytics (medición agregada del uso del sitio, solo con tu consentimiento): Google Ireland Limited, Irlanda, con tratamiento por Google LLC, EE. UU.
• Google / Firebase Cloud Messaging (entrega del token de notificación push en iOS y Android; sin analítica): EE. UU.
• Apple (servicio Apple Push Notification que sustenta la push en iOS, «Iniciar sesión con Apple» y su relay de email privado, y tu propio almacenamiento de copia de seguridad en iCloud): EE. UU.

Cuando los datos llegan a proveedores en EE. UU., la transferencia está protegida por las cláusulas contractuales tipo de la UE y, donde hay certificación, por el Swiss-U.S. Data Privacy Framework. No vendemos ni alquilamos datos personales, y no existen otros destinatarios.

18 Conservación

Los datos de cuenta se conservan mientras exista tu cuenta y se eliminan cuando la eliminas. Los registros de consentimiento se conservan durante los plazos de prescripción legales (sección 10). La correspondencia de los formularios se conserva el tiempo necesario para gestionar la solicitud. Los conteos agregados de tokens se conservan para la contabilidad de costes. Los registros de facturación y pago se conservan durante los plazos de conservación fiscal y contable legales. Los tokens push se eliminan cuando se desactivan las notificaciones o se elimina la cuenta. Los datos de salud en tu dispositivo los conservas únicamente tú. La instantánea de cuenta cifrada (sección 7) es una sola fila que cada copia sobrescribe y que se elimina junto con tu cuenta; una copia legible de tus datos de salud no la tenemos en ningún momento. Los valores de Kata Duo se borran en cuanto superan los 21 días, y un emparejamiento se va con todos sus valores en el momento en que cualquiera de los dos lados termina el duo (sección 14). Un envío seguro caduca 14 días después de crearse, y su fila, texto cifrado incluido, se borra entonces o en el momento en que lo revocas (sección 15).

19 Seguridad e incidentes de datos

Todo el transporte va cifrado (TLS). El servidor guarda los datos mínimos descritos arriba, protegidos por controles de acceso y por los programas de seguridad de nuestros encargados. La medida más fuerte es arquitectónica: tu contenido de salud o no está en nuestros servidores en absoluto, o está allí solo como texto cifrado del que no tenemos clave, de modo que una filtración en nuestro lado no puede exponerlo.

Si a pesar de todo un incidente de seguridad afectara a datos personales que obran en nuestro poder, lo evaluaremos sin demora indebida y lo notificaremos a la autoridad de control competente y, cuando sea necesario, a las personas afectadas, de acuerdo con el art. 24 LPD y, donde aplique, los arts. 33 y 34 del RGPD.

20 Tus derechos

Tienes derecho de acceso, rectificación, supresión y portabilidad de tus datos personales, y derecho a oponerte al tratamiento. Como casi todos los datos viven en tu dispositivo, la mayoría de estos derechos están en tus propias manos: exporta, corrige o borra tus datos directamente en la app. Para cualquier cosa relativa a tu cuenta o a un formulario que enviaste, escribe a contact@yourkata.com. También puedes presentar una reclamación ante el Comisario Federal de Protección de Datos y Transparencia (FDPIC) de Suiza o, donde aplique el RGPD, ante tu autoridad de control local.

21 Cambios

Actualizaremos esta política cuando el servicio cambie. La versión vigente, con su fecha, está siempre publicada en esta página. Los cambios sustanciales se anuncian en la app.

22 Derecho aplicable

Esta política y cualquier disputa sobre privacidad se rigen por el derecho suizo. La vista de ingeniería de los mismos hechos vive en la documentación de Tus datos.