Política de privacidad.

1 Responsable

BSNS GmbH es el responsable del tratamiento descrito en esta política. Cubre los sitios web yourkata.com y docs.yourkata.com, la app web de Kata en app.yourkata.com y las apps móviles de Kata para iOS y Android, incluidas la app de Apple Watch y los widgets que vienen con la app de iOS.

BSNS GmbH no ha designado, ni está obligada a designar, un delegado de protección de datos. Para cualquier asunto de privacidad, contact@yourkata.com es la línea directa con las personas responsables.

2 La versión corta

Tus datos de salud te pertenecen. Todos los registros, chats, fotos y la memoria que Kata tiene de ti se escriben en tu dispositivo, no en una base de datos de contenidos nuestra: tanto en el navegador como en las apps móviles. Nunca te mostramos publicidad, nunca vendemos datos y nunca perfilamos tus datos de salud. La única medición que hacemos es una analítica de visitas básica y agregada en este sitio de marketing (Google Analytics), que puedes rechazar en el aviso y que nunca toca tus datos de salud ni de cuenta (sección 4). Más allá de la dirección de email y el identificador de cuenta con los que inicias sesión, y de los registros operativos descritos en las secciones 9 a 11 y 16, dos cosas salen de tu dispositivo: tu mensaje a Kata, enviado a nuestro proveedor de IA para generar tu respuesta, que no lo usa para entrenar y lo borra en un plazo de 30 días, mientras que nosotros no guardamos ninguna copia; y, en la app web y en la app de Android, una instantánea de restauración de tu cuenta, cifrada en tu dispositivo antes de subirse, con una clave que nunca recibimos. Esa instantánea la guardamos como texto cifrado, no tenemos medios técnicos para abrirla, y tus fotos nunca están dentro (sección 7). Dos funciones que activas tú añaden algo más, a propósito: Kata Duo comparte un valor sí o no al día con las personas que invitas, y nada sobre lo que hiciste (sección 14), y un envío seguro te permite mandar un resumen que compones tú a una persona que indicas tú: se sella en tu dispositivo y su enlace sale de tu dispositivo, así que también es ilegible para nosotros (sección 15).

3 Marco legal

Tratamos los datos personales de acuerdo con la Ley federal suiza de protección de datos (LPD/FADP, versión revisada en vigor desde el 1 de septiembre de 2023) y, donde aplica a usuarios del Espacio Económico Europeo, el Reglamento General de Protección de Datos de la UE (RGPD). Cuando esta política menciona una base legal, se refiere al art. 6, apdo. 1 del RGPD; bajo la LPD, el tratamiento aquí descrito queda cubierto por los principios del art. 6 LPD y no se basa en el consentimiento salvo que se indique.

4 Visitas al sitio web

• Analítica: este sitio usa Google Analytics (proporcionado por Google Ireland Limited) para medir visitas y tráfico de forma agregada: páginas vistas, región aproximada a partir de una dirección IP abreviada, tipo de dispositivo y navegador, y cómo llegaste. Instala sus propias cookies. Son datos de uso anónimos y agregados solo sobre el sitio; nunca se vinculan a tu cuenta de Kata y nunca incluyen datos de salud ni de cuenta personal. Solo se carga si lo aceptas en el aviso de consentimiento, y puedes rechazarlo. Base jurídica: tu consentimiento (art. 6 (1) (a) RGPD; LPD suiza).
• Aviso de consentimiento: la analítica solo se carga después de que la aceptes. Tu elección, aceptada o rechazada, se recuerda como un único indicador en el localStorage de tu navegador, y hasta que aceptes no se instala ninguna cookie de analítica ni se envía ningún dato de analítica. Borrar ese almacenamiento te permite elegir de nuevo.
• Hosting: Vercel Inc., EE. UU., entrega el sitio web y procesa registros técnicos de servidor (dirección IP, hora de la petición, agente de usuario) para operar y defender el servicio (interés legítimo). El tratamiento puede tener lugar en la UE y en EE. UU.; las transferencias están cubiertas por las cláusulas contractuales tipo de la UE y las normas suizas sobre flujos transfronterizos de datos.
• Las fuentes están alojadas por nosotros y se sirven desde el mismo alojamiento que las páginas. No se contacta con ningún servicio de fuentes de terceros, y ninguna petición tuya llega a uno.

5 Formularios del sitio (contacto y colaboraciones)

Si usas el formulario de contacto o de colaboraciones, tratamos los datos que envías (nombre, dirección de email, tema, empresa si la indicas, y tu mensaje) para responder a tu solicitud (ejecución de un contrato o medidas precontractuales; interés legítimo para consultas generales). Los mensajes llegan a nuestros buzones a través de Resend, Inc., EE. UU., que actúa como nuestro encargado, y se conservan el tiempo necesario para gestionar la conversación y su seguimiento. Los datos de los formularios nunca se usan para publicidad y nunca se comparten fuera de este fin.

6 App: datos de cuenta

Para crear y proteger tu cuenta tratamos tu dirección de email, un identificador de usuario (el ID de tu cuenta), tu método de autenticación y las marcas de tiempo de autenticación, en todas las superficies (web y apps móviles). La autenticación la proporciona Supabase, nuestro encargado, con el proyecto alojado en Suiza (región de Zúrich). Puedes iniciar sesión con email y contraseña, Google, Apple o un enlace mágico; cuando usas un inicio de sesión de terceros, ese proveedor nos confirma tu identidad y nosotros almacenamos solo tu dirección de email y este ID de cuenta. Si inicias sesión con Apple y eliges «Ocultar mi correo», Apple nos da una dirección de relay privada en lugar de tu email real; nuestros emails transaccionales se envían a ese relay y Apple los reenvía hasta ti. Supabase no guarda datos de salud legibles. Qué más hay en esa base de datos se describe en las secciones 7 y 9 a 16: la instantánea sellada de la app web y de la app de Android, que no podemos abrir, los registros operativos que allí se enumeran y, si usas Kata Duo o Kata Groups, un valor sí o no al día.

La prueba gratuita de Kata Plus y las recompensas de Invita a un amigo (sección 13) se conceden una sola vez por persona. Para que esto siga valiendo después de eliminar una cuenta, conservamos huellas con clave de la dirección de email de la cuenta eliminada y de las cuentas de inicio de sesión de Apple o Google vinculadas a ella. Una huella con clave es un HMAC, un hash unidireccional calculado con una clave secreta nuestra: no puede convertirse de nuevo en la dirección ni en la cuenta de inicio de sesión, y lo único que puede mostrar es que el mismo valor ha vuelto. Conservamos estas huellas durante 24 meses después de la eliminación y las usamos para un único fin: comprobar si una cuenta nueva pertenece a alguien que ya tuvo la prueba o una recompensa por invitación, en cuyo caso la cuenta nueva no recibe ninguna de las dos otra vez. Base legal: nuestro interés legítimo en evitar el abuso de nuestras ofertas gratuitas (art. 6, apdo. 1, letra f del RGPD; LPD suiza).

7 Tus datos de salud y dónde viven

Kata es local-first en todas las superficies. Todos los registros de salud (peso, comida, agua, entrenamiento, sueño, suplementos), tu historial de chat, la memoria que Kata tiene de ti, tus fotos y tu registro de decisiones se escriben en tu dispositivo: en el almacenamiento del navegador en la app web (localStorage para ajustes y registros estructurados, IndexedDB para contenido mayor como las fotos) y en el almacenamiento local de la app en iOS y Android. Es el único sitio donde todo eso existe en claro. No operamos ninguna base de datos de contenidos, y en nuestro lado no hay nada que pudiéramos abrir, leer o entregar. Si eliminas la app o borras sus datos de sitio, desaparecen; la exportación integrada existe para que puedas hacer una copia antes.

En la app web y en la app de Android una cosa sí sale de tu dispositivo, y es exactamente esta. Para que un navegador borrado, un ordenador nuevo o un móvil nuevo no signifique una historia perdida, estas dos apps guardan una única instantánea de restauración de tu cuenta, que almacenamos como una fila por cuenta, porque ni un navegador ni un móvil Android ofrecen a Kata una nube privada por persona en la que apoyarse. La app de iOS no nos envía ninguna instantánea de ese tipo: escribe un archivo de copia de seguridad en su propia carpeta Documentos de tu iPhone (sección 11). Antes de que la instantánea salga de tu dispositivo, allí se cifra con AES-256-GCM, con una clave aleatoria de 256 bits que se genera en tu dispositivo, se guarda en su almacenamiento seguro y se te muestra una vez como tu código de recuperación. Esa clave nunca se nos envía de ninguna forma: ni en la fila, ni en una columna, ni en una cabecera de la petición, ni en un registro técnico.

En la app de Android esa clave se guarda en dos sitios, y ninguno es nuestro: en el móvil, sellada con una clave que custodia el Android Keystore, y en Google Block Store, un almacén para pequeños secretos que los servicios de Google Play mantienen con tu cuenta de Google, conforme a las condiciones de Google. Esa segunda copia es lo que permite que un móvil Android nuevo, configurado desde tu cuenta de Google, recupere la clave por sí solo y abra tu instantánea; cuando tu móvil lo admite, Google cifra esa copia de extremo a extremo con el bloqueo de pantalla. Eliminar tu cuenta en la app borra la clave de ambos sitios. Donde Block Store no está disponible, tu código de recuperación es la forma de abrir la instantánea en otro dispositivo.

La fila guarda el sobre sellado y nada más: un marcador de formato, un número de versión, el nombre del algoritmo, el vector de inicialización aleatorio, el texto cifrado, la hora del sellado y la versión de esquema de los datos de dentro. A su lado no se guarda ninguna clave, ningún identificador de clave, ningún hash de la clave, ninguna sal y ningún valor de comprobación, así que en nuestro lado no hay nada contra lo que siquiera se pudiera probar una conjetura. Guardamos texto cifrado que no tenemos medios técnicos de leer, y solo tú tienes lo que lo abre. Tus fotos nunca forman parte de esta instantánea, ni tampoco los valores que importas desde Apple HealthKit o Google Health Connect. La seguridad a nivel de fila es el segundo cerrojo: la fila está atada a tu cuenta con sesión iniciada y ninguna otra cuenta llega a ella. Se actualiza tras un cambio, como mucho una vez cada cuarto de hora (cada dos minutos durante la primera hora de una cuenta nueva), y cada seis horas cuando nada ha cambiado; cada actualización sustituye a la anterior, y se elimina junto con tu cuenta. Si tu dispositivo no puede cifrar, no se sube nada en absoluto.

Los datos de salud que importas desde Apple HealthKit o Google Health Connect se tratan como cualquier otra entrada de salud: viven en tu dispositivo y nunca se almacenan en nuestros servidores. Cuando le haces una pregunta a Kata, los valores importados que esa pregunta necesita se envían con ella a nuestro proveedor de IA para responderla (sección 8). Nunca los almacenamos, nunca los vendemos y nunca los usamos para publicidad.

8 Coach de IA

Cuando hablas con Kata, tu mensaje y el contexto mínimo necesario para responderlo, incluidos los valores de Apple HealthKit, Google Health Connect o WHOOP que la pregunta necesite, se transmiten por una conexión cifrada a nuestro proveedor de IA (actualmente Anthropic PBC, EE. UU.) para generar la respuesta. Anthropic no usa estas peticiones para entrenar sus modelos y las elimina en un plazo de 30 días. No almacenamos el contenido de estas peticiones en nuestros servidores; registramos únicamente conteos agregados de tokens por cuenta para el control de costes. Las preguntas que haces en el Apple Watch se tratan de la misma manera. La entrada por voz se convierte en texto antes de llegarnos: mediante el reconocimiento de voz de Apple en la app de iOS, el reconocimiento de voz de tu móvil en la app de Android, que en la mayoría de los móviles Android lo proporciona Google y puede procesar el audio en servidores de Google, y el reconocimiento de voz de tu navegador en la app web, cada uno conforme a las condiciones propias de su proveedor. Las fotos se analizan de la misma manera que los mensajes, solo cuando tú las envías.

9 Señales de producto abstraídas

Para mejorar Kata, entender a nuestra audiencia y aplicar el uso razonable, almacenamos un pequeño conjunto de señales abstraídas por cuenta. Están vinculadas a tu identificador de cuenta, por lo que son datos personales seudonimizados, pero no contienen nombres ni contenido: un latido diario con la plataforma, la versión de la app y un código de país obtenido en nuestro servidor; conteos de aperturas de la app y marcas de última actividad; cifras agregadas de uso de IA (conteos de tokens por cuenta, nunca contenido de mensajes); un resumen abstracto de persona que la app calcula en tu dispositivo (una palabra de arquetipo más rasgos generales como nivel de actividad, tipos de deporte principales, consistencia al comer, patrón de sueño, fase actual, género autodeclarado opcional, país y zona horaria); la atribución de invitaciones y vales; y tu plan de suscripción.

Explícitamente nunca guardado en claro en nuestros servidores: tus chats y tu historial de conversación, tus registros de salud, la memoria que Kata tiene de ti y tu registro de decisiones. Tus fotos nunca se guardan en nuestros servidores. El resto solo nos llega dentro de la instantánea de cuenta cifrada descrita en la sección 7, como texto cifrado que no podemos abrir. El resumen de persona se calcula en tu dispositivo, y ninguna de las señales enumeradas aquí puede usarse para reconstruir nada de eso. Base legal: nuestro interés legítimo en operar y mejorar el servicio (art. 6, apdo. 1, letra f del RGPD; LPD suiza).

Otras dos cosas en nuestros servidores derivan de la salud sin ser señales de producto, porque solo existen mientras tú las pides: el valor diario sí o no de Kata Duo (sección 14) y el resumen sellado de un envío seguro (sección 15). Se nombran aquí para que esta sección siga siendo una imagen completa de lo que guardamos, y cada una se describe entera en su propia sección.

10 Registros de consentimiento

Cuando aceptas los Términos del servicio o das un consentimiento en la app, almacenamos el registro de esa aceptación: la versión del documento, la marca de tiempo, la superficie (web, iOS o Android) y el idioma en el que aceptaste. Estos registros prueban la celebración del contrato y los consentimientos que diste. Base legal: ejecución de un contrato y cumplimiento de obligaciones legales (art. 6, apdo. 1, letras b y c del RGPD; LPD suiza). Se conservan mientras exista tu cuenta. Cuando eliminas tu cuenta, se conservan aparte de todo lo demás, vinculados solo a la huella con clave de tu dirección de email (sección 6) y a tu antiguo ID de cuenta, durante diez años, el plazo general de prescripción del derecho suizo, y después se eliminan.

11 Apps móviles: permisos y notificaciones push

• Notificaciones push: si las activas, se procesa un token push vinculado a tu cuenta para entregar las notificaciones, a través de Google Firebase Cloud Messaging tanto en iOS como en Android (en iOS se apoya por debajo en el servicio Apple Push Notification). El token es un identificador que sirve únicamente para entregar las notificaciones que redacta Kata: nunca para tracking ni publicidad, no usamos ningún Firebase Analytics, y a Firebase no se envía ningún dato personal ni de salud, solo el token y el texto de la notificación. Los tokens se eliminan cuando desactivas las notificaciones o eliminas tu cuenta. Para que las notificaciones lleguen como las has configurado, almacenamos además tus preferencias de notificación con tu cuenta: las categorías que elegiste, las horas de calma, la frecuencia, tu idioma y tu zona horaria. Un registro de envíos, que anota qué notificación salió y cuándo, se conserva durante 21 días, para que nada llegue dos veces.
• Archivo de copia de seguridad (iOS): la app de iOS escribe una copia de seguridad de tus datos locales de Kata, fotos incluidas y sin los valores de HealthKit, como un archivo en la propia carpeta Documentos de la app en tu iPhone. No se nos envía, y Kata no almacena nada en tu iCloud personal. Si la copia de seguridad de iCloud de tu propio iPhone está activada, Apple incluye ese archivo en ella como cualquier otro dato de apps, bajo tu cuenta de Apple y conforme a las condiciones de Apple. También puedes exportar tú mismo una copia.
• Archivos de copia de seguridad y copia de Google (Android): la app de Android escribe copias de seguridad de tus datos locales de Kata, fotos incluidas y sin los valores de Health Connect, como archivos en su propio almacenamiento privado en tu móvil, una vez a la semana salvo que elijas otra frecuencia. No se nos envían. Si la copia de seguridad de Android en tu cuenta de Google está activada, lleva estos archivos y nada más de Kata: el almacenamiento en uso de la app, que contiene los valores de Health Connect, queda fuera, igual que la copia de la clave de la instantánea sellada por el Android Keystore (sección 7). Esa copia queda bajo tu cuenta de Google y conforme a las condiciones de Google. Cuando pasas directamente a un móvil nuevo tuyo, por cable o por Wi-Fi, Android traslada los archivos de copia de seguridad y el almacenamiento en uso de la app sin guardarlos en ningún sitio por el camino. También puedes exportar tú mismo una copia.
• Cámara, micrófono y galería de fotos: se accede a ellos solo cuando tomas o adjuntas una foto activamente, escaneas un código de barras o hablas con Kata. El acceso ocurre localmente en tu dispositivo; el contenido se transmite solo en el momento en que lo envías a Kata (sección 8) y nosotros no lo almacenamos. Cuando hablas, tu voz se convierte en texto mediante el reconocimiento de voz de Apple (iOS), el reconocimiento de voz de tu móvil (Android), que en la mayoría de los móviles Android lo proporciona Google y puede procesar el audio en servidores de Google, o el reconocimiento de voz de tu navegador (web). Cada uno puede tratar el audio conforme a las condiciones propias de su proveedor; Kata recibe solo el texto resultante.
• Escáner de códigos de barras: los códigos de barras se leen en tu dispositivo con Google ML Kit, y para ello no se envía ninguna imagen de la cámara a ninguna parte. Para buscar el producto, tu dispositivo envía después el número del código de barras a Open Food Facts, que, como en cualquier petición web, recibe también tu dirección IP. La puntuación se calcula en tu dispositivo.
• Apple HealthKit y Google Health Connect: los datos de salud que decides importar se quedan en tu dispositivo como todo el contenido de salud (sección 7). Cuando le haces una pregunta a Kata, los valores que esa pregunta necesita se envían con ella a nuestro proveedor de IA para responderla (sección 8). Nunca los almacenamos en nuestros servidores, nunca los vendemos y nunca los usamos para publicidad.
• Google Health Connect (Android): si lo conectas, Kata lee, sin escribir nunca en él, los tipos que permitas entre estos: pasos, energía activa, distancia, entrenamientos con su frecuencia cardíaca, peso, altura, sueño con sus fases, frecuencia cardíaca en reposo y variabilidad de la frecuencia cardíaca. Kata lee solo mientras la app está abierta, y no más allá de 30 días antes de tu primer permiso, porque Kata no pide a Health Connect un historial más antiguo. Los valores se guardan en el almacenamiento local de la app en tu móvil. Nunca entran en la copia de seguridad de Google ni en la instantánea cifrada, y nunca alimentan el resumen de persona de la sección 9. Solo salen de tu móvil con una pregunta a Kata que los necesita, enviados con ella a nuestro proveedor de IA exactamente igual que los valores de Apple Health (sección 8), o en una exportación o una transferencia directa a un móvil nuevo que inicias tú. Desconectar Health Connect en la app devuelve a Health Connect los permisos de Kata y, si así lo eliges, quita de Kata los valores importados; también puedes retirar el acceso en Health Connect en cualquier momento.
• App de Apple Watch: la app del reloj inicia sesión retomando la sesión de tu iPhone emparejado, o con un inicio de sesión por email cuando eso no es posible. Lee datos de HealthKit en el reloj, como el pulso y la HRV, para responderte, y nunca escribe en ellos. Una pregunta que haces en el reloj se envía, con los valores que necesita, a nuestro proveedor de IA exactamente igual que un mensaje en la app (sección 8).
• Las etiquetas de privacidad que se muestran en el App Store de Apple y en Google Play describen las mismas prácticas que esta política. Si alguna vez una etiqueta y esta política parecieran diferir, esta política es la descripción autorizada de lo que hacemos.

12 Integración con WHOOP

Conectar WHOOP es opcional. Los tokens OAuth se guardan en tu dispositivo, ilegibles para los scripts donde la plataforma lo permite, y vinculados a tu cuenta de Kata, de modo que solo funcionan para la cuenta que los conectó; no se almacenan en ninguna base de datos de servidor. Se usan únicamente para obtener tus datos de recuperación, sueño, esfuerzo, HRV, pulso en reposo, temperatura de la piel y entrenamientos de la API de WHOOP (WHOOP, Inc., EE. UU.) a través de nuestro servidor, que transmite los datos a tu dispositivo sin almacenarlos. Cuando le haces una pregunta a Kata, los valores de WHOOP que necesita se envían con ella a nuestro proveedor de IA como contexto (sección 8). Puedes revocar la conexión en cualquier momento en la app o en los ajustes de tu cuenta de WHOOP.

13 Invita a un amigo

Si invitas a un amigo, tratamos la dirección de email invitada y el estado de la recompensa (meses regalados y ganados) para operar Invita a un amigo. Las direcciones invitadas se usan solo para la invitación y el emparejamiento de la recompensa, nunca para listas de marketing.

14 Kata Duo y Kata Groups

Kata Duo es opcional y solo existe desde el momento en que lo inicias: compartes un enlace de invitación y quien lo acepta pasa a ser uno de tus cinco compañeros de duo como máximo. Para que un emparejamiento funcione guardamos los dos identificadores de cuenta, el código de invitación aleatorio, si el emparejamiento sigue pendiente o está activo, una marca por lado para ocultar a alguien en tu propio perfil y los momentos de creación y de incorporación. El nombre que le pones a un compañero no forma parte de eso: se queda en el dispositivo donde lo escribiste, tu compañero no lo ve nunca y nosotros tampoco.

Lo que Duo comparte de verdad es una fila por persona y día, con tu identificador de cuenta, la fecha y un único valor sí o no: si ese día mantuviste tu forma. Tu dispositivo calcula ese valor a partir de tu propio día local, y no dice nada sobre lo que hiciste. Ningún registro, ninguna cifra, ninguna puntuación, ninguna racha, ningún contenido de ningún tipo y nada sobre qué fue lo mantenido. Un día sin nada registrado no produce fila alguna, y por eso el tercer estado que ve tu compañero es un gris honesto y no una afirmación. Solo una cuenta con la que tienes un emparejamiento activo puede leer tus filas, y ese límite lo impone la propia base de datos; cuando cualquiera de los dos lados termina el duo, el emparejamiento y la visibilidad caen de inmediato, en ambos sentidos.

Base jurídica: tu consentimiento, dado al crear o aceptar una invitación de duo y retirado al terminar el duo (art. 6 (1) (a) y, porque el valor deriva de tu uso en salud, art. 9 (2) (a) RGPD; LPD suiza). Conservación: como parte de su escritura diaria la app borra tus propias filas en cuanto superan los 21 días, de modo que nunca existen más de unas tres semanas de valores sí o no. Terminar un duo elimina el emparejamiento de inmediato, y todo se va cuando eliminas tu cuenta.

Kata Groups es el mismo mecanismo para más de dos personas, y no guarda más de lo que guarda Kata Duo. Cuando inicias un grupo almacenamos un identificador de grupo, un nombre de grupo y una etiqueta para la única cosa que el grupo sigue, los códigos de invitación aleatorios y, por cada miembro, un identificador de cuenta, un nombre visible propio del grupo y si ese miembro oculta su valor al grupo. Lo que un grupo comparte es el mismo único valor sí-o-no por miembro y día, si ese miembro cumplió el día, y nada sobre lo que hizo nadie: ningún registro, ningún número, ninguna puntuación, ningún contenido de ningún tipo. Solo los miembros de un grupo pueden leer las filas de ese grupo, y ese límite se aplica en la propia base de datos. Si ocultas tu valor a un grupo, solo lo sabes tú: a los demás miembros nunca se les muestra esa elección, y para ellos un valor oculto se ve exactamente igual que un día sin nada registrado. Tus valores y tu pertenencia se van en el momento en que dejas el grupo o eliminas tu cuenta. La base legal, y la derivación del valor a partir de tu uso de salud, son las mismas que para Kata Duo más arriba.

15 Envío seguro a un médico u otra persona que elijas

Puedes enviar un resumen con exactamente lo que selecciones a una persona que indiques, normalmente un médico. Solo ocurre si tú lo pides, y ocurre así. El resumen se compone en tu dispositivo y allí se cifra con AES-256-GCM. La clave va en el propio enlace, en la parte de la dirección que los navegadores nunca envían a un servidor. Ese enlace se compone en tu dispositivo y lo envías tú, desde tu dispositivo, en el mensaje y por el canal que elijas: ni el enlace ni la clave pasan nunca por nuestros servidores. Guardamos una fila por envío: el texto cifrado, tu identificador de cuenta como propietario, un hash SHA-256 con sal de la dirección de email del destinatario, la caducidad y los momentos de creación y de primera apertura.

La dirección en sí no se guarda, solo ese hash, con la sal del propio identificador del envío para que no pueda resolverse contra una lista de direcciones habituales. Existe para que el código de acceso llegue al buzón invitado y a ningún otro. Nosotros no enviamos ninguna invitación: el único email que enviamos para un envío es ese código de acceso, cuando el destinatario lo pide. Para abrir un envío el destinatario confirma la dirección invitada con un código de 6 dígitos, así que también conservamos la contabilidad que esa comprobación necesita: un hash del código activo, su validez de diez minutos, el número de intentos fallidos, limitado a cinco, el número de códigos enviados y el momento del último. El código sirve una sola vez y el código en sí no se guarda nunca. Todo lo demás es texto cifrado: no tenemos medio técnico alguno para leer el resumen, y sin el enlace tampoco lo tiene nadie más.

Base jurídica: tu consentimiento, dado cada vez que creas un envío y retirado al revocarlo (art. 6 (1) (a) y art. 9 (2) (a) RGPD; LPD suiza). Conservación: un envío caduca 14 días después de crearlo, y una fila caducada se borra por completo en el siguiente acceso. Puedes revocar un envío en cualquier momento en la app, lo que elimina la fila y con ella el texto cifrado, y los envíos se van con tu cuenta. Cuando un envío termina, solo conservamos su identificador aleatorio y el momento en que terminó, sin vincularlo a nadie, para que su enlace no vuelva a abrir nada nunca. La creación está limitada a diez envíos por cuenta y día.

16 Datos de pago y suscripción

Cuando contratas un plan de pago, tratamos los datos necesarios para tu suscripción: tu plan y su estado, el periodo de facturación, la moneda y el país usados para el impuesto, un identificador de cliente y de suscripción, y un registro de pagos y reembolsos. No recibimos ni almacenamos el número completo de tu tarjeta; los datos de la tarjeta los gestiona el proveedor de pago.

• Compras en la web: los pagos los procesa Stripe (Stripe Payments Europe, Ltd., Irlanda, con Stripe, Inc., EE. UU.), que gestiona los datos de tu tarjeta y calcula el impuesto aplicable. Recibimos la confirmación de la suscripción y los datos de facturación limitados anteriores, nunca el número completo de la tarjeta.
• Compras en la App Store, en la app de iOS a partir de la versión 1.0.1 para iPhone: Apple es el vendedor y procesa el pago; recibimos el estado de suscripción verificado (producto, periodo, renovación y cancelación) necesario para desbloquear tu plan, no tus datos de pago.
• Compras en Google Play, en la app de Android a partir de una versión posterior: Google es el vendedor y procesa el pago; recibimos el estado de suscripción verificado necesario para desbloquear tu plan, no tus datos de pago.

Base jurídica: ejecución de tu contrato de suscripción y cumplimiento de nuestras obligaciones legales, incluida la conservación fiscal y contable (art. 6 (1) (b) y (c) RGPD; LPD suiza). Los registros de facturación se conservan durante los plazos de conservación legales.

Bienestar corporativo: si una organización, por ejemplo tu empleador, cubre tu plan, guardamos tu pertenencia a esa organización (la dirección de email que invitó, si la plaza está invitada, unida o retirada, la fecha de cada uno de esos pasos, y el plan que concede su acuerdo) para poder aplicar y retirar la cobertura. Para una invitación enviada por email guardamos también cuándo se envió por última vez y cuántas veces. Llevamos un registro de cada cambio en la pertenencia (la invitación, la incorporación, la salida o la retirada) y en el acuerdo de la organización, para poder comprobar plazas y facturas; contiene identificadores de cuenta, nunca tu dirección de email y nada sobre tu salud. Sobre una persona concreta, la persona responsable de la organización solo ve la pertenencia: por cada persona que invitó, la dirección de email invitada (quien se unió por enlace o código aparece sin ella), si la plaza está invitada, unida o retirada, la fecha de esos pasos y, para una invitación pendiente, si caducó o fue retirada, cuándo y cuántas veces se envió. Para el grupo ve las plazas ocupadas frente a las que cubre el acuerdo, y activación y uso como cifras. Cada cifra sobre la actividad se calcula solo a partir de miembros que confirmaron su dirección de email y usaron Kata de verdad en el periodo mostrado, nunca a partir de los propios responsables, y aparece solo cuando hay al menos cinco de esos miembros detrás, para que nadie pueda ser señalado. La organización nunca ve tus datos de salud, tus registros, tus chats ni la memoria que Kata tiene de ti: nada de eso existe en forma legible en nuestros servidores, ni para la organización ni para nosotros. Base jurídica: ejecución del contrato que cubre tu plaza (art. 6 (1) (b) RGPD; LPD suiza). Salir de la organización, o ser retirado de ella, termina la cobertura y deja intactos tus propios datos.

Regalos. Cuando regalas Kata Plus, tratamos lo que introduces: la duración, el diseño de la tarjeta y su idioma, tu nombre y el de la persona que lo recibe tal como los quieres en la tarjeta, tu mensaje, cómo llega el regalo, la dirección de correo de la persona que lo recibe si debemos enviarlo por correo, y el día de envío. El proveedor de pagos nos facilita tu dirección de correo y tu nombre para el recibo y, para una tarjeta por correo postal, la dirección postal. Si has iniciado sesión, el regalo se vincula a tu cuenta para que lo veas allí. A diferencia de tus datos de salud, un regalo se guarda en nuestros servidores (Supabase, región de Zúrich), porque la persona a la que se lo regalas lo abre desde allí. Lo usamos solo para entregar el regalo: mostrar la tarjeta y tu mensaje a quien lo abra, enviarlo por correo, imprimir y enviar la tarjeta, enviarte el recibo y los avisos de que se canjeó y de que se envió la tarjeta, y gestionar reembolsos y preguntas. Solo sabrás que tu regalo se canjeó, y cuándo, nunca nada de la cuenta que lo canjeó. Base jurídica: el contrato contigo (art. 6 (1) (b) RGPD; LPD suiza).

Recibir un regalo. Si alguien te hace un regalo por correo, usamos tu dirección de correo y el nombre que escribió solo para enviarte ese único correo de regalo, y su mensaje solo para mostrártelo; tu dirección no se añade a ninguna lista. Cuando canjeas el regalo, registramos qué cuenta lo canjeó y cuándo, para añadir los meses. No leemos el mensaje con ningún otro fin y nunca lo usamos para el coaching, la personalización o el marketing. Base jurídica: nuestro interés legítimo en entregar un regalo comprado para ti (art. 6 (1) (f) RGPD; LPD suiza), y el contrato contigo una vez que lo canjeas (art. 6 (1) (b) RGPD).

17 Destinatarios y transferencias al extranjero

• Supabase (autenticación, y la base de datos que aloja los registros operativos descritos en esta política, la instantánea de cuenta cifrada de la app web y de la app de Android, los emparejamientos y valores diarios de Kata Duo y Kata Groups y los envíos seguros sellados): proyecto alojado en Suiza, región de Zúrich.
• Anthropic (procesamiento de IA para el coach): EE. UU.; las peticiones no se usan para entrenar y se eliminan en un plazo de 30 días.
• ElevenLabs (voces Kata, solo en los planes de pago: la lectura en voz alta de tu resumen semanal y de tus cartas, las notas de voz ocasionales de Mégane, y las respuestas habladas cuando hablas con Kata): EE. UU., solo procesamiento transitorio, el texto se convierte en audio y no se guarda.
• Resend (email transaccional, incluido el código de acceso de un envío seguro): EE. UU.
• Vercel (hosting): UE y EE. UU.
• Stripe (procesamiento de pagos para las compras en la web, regalos incluidos): Stripe Payments Europe, Ltd., Irlanda, con tratamiento por Stripe, Inc., EE. UU.
• El servicio postal que transporta una tarjeta regalo impresa (Correos de Suiza y el operador postal del país de destino), solo con la tarjeta, el mensaje y la dirección postal.
• Apple y Google (procesamiento de pagos y suscripciones para las compras realizadas en la App Store y Google Play, una vez que las apps las ofrezcan): EE. UU.
• Google Analytics (medición agregada del uso del sitio, solo con tu consentimiento): Google Ireland Limited, Irlanda, con tratamiento por Google LLC, EE. UU.
• Google / Firebase Cloud Messaging (entrega del token de notificación push en iOS y Android; sin analítica): EE. UU.
• Apple (servicio Apple Push Notification que sustenta las notificaciones push en iOS, «Iniciar sesión con Apple» y su relay de email privado, el reconocimiento de voz en la app de iOS, y tu propia copia de seguridad de iCloud del dispositivo, que puede incluir el archivo de copia de seguridad de la app): EE. UU.
• Google («Iniciar sesión con Google», y en la app de Android: el reconocimiento de voz del móvil cuando lo proporciona Google, Google Block Store, que guarda la clave de la instantánea con tu cuenta de Google, y tu propia copia de seguridad de Google del dispositivo, que puede incluir los archivos de copia de seguridad de la app): EE. UU.
• El reconocimiento de voz de tu navegador (entrada por voz en la app web), proporcionado por el fabricante del navegador conforme a sus propias condiciones.
• Google ML Kit (lectura de códigos de barras para el escáner): se ejecuta en tu dispositivo; para ello no se envía ninguna imagen de la cámara.
• Open Food Facts (búsqueda de productos para el escáner, enviada desde tu dispositivo con el código de barras y tu dirección IP): Francia.
• WHOOP (la API de WHOOP, solo si conectas WHOOP): EE. UU.

Cuando los datos llegan a proveedores en EE. UU., la transferencia está protegida por las cláusulas contractuales tipo de la UE y, donde hay certificación, por el Swiss-U.S. Data Privacy Framework. No vendemos ni alquilamos datos personales, y no existen otros destinatarios.

18 Conservación

Los datos de cuenta se conservan mientras exista tu cuenta y se eliminan cuando la eliminas, salvo las huellas con clave de la sección 6, que se conservan 24 meses después de la eliminación y luego se eliminan. Los registros de consentimiento se conservan mientras exista tu cuenta y, tras su eliminación, durante diez años, vinculados solo a la huella con clave de tu dirección de email y a tu antiguo ID de cuenta (sección 10). La correspondencia de los formularios se conserva el tiempo necesario para gestionar la solicitud. Los conteos agregados de tokens se conservan para la contabilidad de costes. Los registros de facturación y pago se conservan durante los plazos de conservación fiscal y contable legales. Los tokens push se eliminan cuando se desactivan las notificaciones o se elimina la cuenta; las preferencias de notificación se conservan mientras exista tu cuenta, y el registro de envíos durante 21 días. Nuestro proveedor de IA elimina las peticiones que procesa en un plazo de 30 días. El latido diario y las señales de persona de la sección 9 se conservan mientras exista tu cuenta y se eliminan con ella. Los datos de salud en tu dispositivo los conservas únicamente tú. La instantánea de cuenta cifrada (sección 7) es una sola fila que cada copia sobrescribe y que se elimina junto con tu cuenta; una copia legible de tus datos de salud no la tenemos en ningún momento. Los valores de Kata Duo se borran en cuanto superan los 21 días, y un emparejamiento se va con todos sus valores en el momento en que cualquiera de los dos lados termina el duo (sección 14). Un envío seguro caduca 14 días después de crearse, y su fila, texto cifrado incluido, se borra entonces o en el momento en que lo revocas; solo queda su identificador aleatorio, sin vincular a nadie, para que su enlace no vuelva a abrirse (sección 15). El registro de un regalo (su código, la duración, lo pagado, la dirección de correo de quien lo compró y las fechas) se conserva durante el plazo legal de conservación contable. Los nombres, el mensaje y la dirección de correo de la persona que lo recibe se borran 90 días después de que el regalo se canjee o se reembolse, o cuando caduca sin canjearse; una dirección postal, 90 días después de enviar la tarjeta. Cuando se elimina la cuenta que canjeó un regalo, se retira el vínculo del regalo con ella (sección 16).

19 Seguridad e incidentes de datos

Todo el transporte va cifrado (TLS). El servidor guarda los datos mínimos descritos arriba, protegidos por controles de acceso y por los programas de seguridad de nuestros encargados. La medida más fuerte es arquitectónica: tu contenido de salud o no está en nuestros servidores en absoluto, o está allí solo como texto cifrado del que no tenemos clave, de modo que una filtración en nuestro lado no puede exponerlo.

Si a pesar de todo un incidente de seguridad afectara a datos personales que obran en nuestro poder, lo evaluaremos sin demora indebida y lo notificaremos a la autoridad de control competente y, cuando sea necesario, a las personas afectadas, de acuerdo con el art. 24 LPD y, donde aplique, los arts. 33 y 34 del RGPD.

20 Tus derechos

Tienes derecho de acceso, rectificación, supresión y portabilidad de tus datos personales, y derecho a oponerte al tratamiento. Como casi todos los datos viven en tu dispositivo, la mayoría de estos derechos están en tus propias manos: exporta, corrige o borra tus datos directamente en la app. Para cualquier cosa relativa a tu cuenta o a un formulario que enviaste, escribe a contact@yourkata.com. También puedes presentar una reclamación ante el Comisario Federal de Protección de Datos y Transparencia (FDPIC) de Suiza o, donde aplique el RGPD, ante tu autoridad de control local.

21 Cambios

Actualizaremos esta política cuando el servicio cambie. La versión vigente, con su fecha, está siempre publicada en esta página. Los cambios sustanciales se anuncian en la app.

22 Derecho aplicable

Esta política y cualquier disputa sobre privacidad se rigen por el derecho suizo. La vista de ingeniería de los mismos hechos vive en la documentación de Tus datos.