Política de Privacidad
Última actualización: 19 de octubre de 2026
1. Quién trata tus datos (responsable)
- Responsable: José Meca Sánchez de Bustamante, con NIF 23061522C, que opera la app con el nombre comercial D4 Fitness.
- Domicilio: Calle Pilar Bardem 1B, 28521 Rivas-Vaciamadrid (Madrid).
- Correo de contacto y de privacidad: d4fitness.support@gmail.com
- No hemos designado delegado de protección de datos (DPD) porque, por nuestro tamaño, no estamos obligados (art. 37 RGPD y art. 34 LOPDGDD). Si eso cambia, lo indicaremos aquí.
2. Qué datos tratamos y para qué
| Datos | Para qué los usamos | Base legal |
|---|---|---|
| Correo electrónico y contraseña (la contraseña la guarda cifrada el proveedor de autenticación) | Crear tu cuenta e iniciar sesión | Ejecución del contrato (art. 6.1.b RGPD) |
| Respuestas del cuestionario de seguridad inicial | Detectar casos en los que la app no es adecuada para ti | Consentimiento explícito (art. 9.2.a RGPD) |
| Valoración: peso, altura, edad, sexo, actividad, objetivo, días de entreno y material | Calcular tus calorías, macros y tu plan de entrenamiento | Consentimiento explícito para datos de salud (art. 9.2.a) y contrato (art. 6.1.b) |
| Seguimiento: check-ins semanales (peso, hambre, energía, adherencia), sueño y ánimo del día, medidas corporales | Ajustar tu plan cada semana y calcular tu recuperación | Consentimiento explícito (art. 9.2.a) |
| Entrenos: series (ejercicio, peso, repeticiones, RIR), sesiones completadas | Progresión de cargas, volumen por músculo e historial | Contrato (art. 6.1.b) y consentimiento (art. 9.2.a) |
| Comidas que registras | Calcular tus macros del día | Contrato (art. 6.1.b) |
| Fotos de progreso (frente, perfil, espalda) | Guardarlas en tu cuenta y, si lo pides, analizarlas | Consentimiento explícito (art. 9.2.a); para el análisis con IA, consentimiento específico (ver punto 4) |
| Ubicación (GPS) en sesiones de cardio, solo si das el permiso: se usa mientras la sesión está activa, también en segundo plano (con la pantalla apagada o usando otra app) para no cortar el recorrido. No se usa fuera de una sesión. El recorrido se guarda solo en tu móvil; al servidor se envía únicamente el resumen (fecha, duración, distancia, ritmo, velocidad, desnivel y tipo de deporte) | Medir tu recorrido y mostrar tu historial y tu gasto | Contrato (art. 6.1.b) y consentimiento (permiso de ubicación del sistema) |
| Apple Salud / HealthKit (iPhone, solo si lo activas): peso, pasos, sueño y energía activa. Solo lectura; D4 no escribe en Apple Salud. Los datos de Apple Salud no se usan para publicidad ni se venden | Rellenar tu peso, pasos y sueño sin teclear y calcular tu recuperación | Consentimiento explícito (art. 9.2.a), que das en el permiso de Apple Salud |
| Health Connect (Android, solo si lo activas): peso, pasos y sueño. Solo lectura; D4 no escribe en Health Connect | Rellenar tu peso, pasos y sueño sin teclear | Consentimiento explícito (art. 9.2.a), que das en el permiso de Android |
| Suscripción (Apple App Store o Google Play, gestionada con RevenueCat): identificador de usuario y estado de la compra | Saber si tienes Premium | Contrato (art. 6.1.b) |
| Códigos de invitación o promoción canjeados | Aplicar el beneficio del código | Contrato (art. 6.1.b) |
| Mensajes del chat de ayuda | Responder a tus consultas | Contrato (art. 6.1.b) |
| Última conexión y datos técnicos (versión de la app, errores) | Seguridad, soporte y funcionamiento del servicio | Interés legítimo (art. 6.1.f) |
| Notificaciones | Los recordatorios se programan en tu propio móvil; no enviamos tu información a un servicio de notificaciones | Consentimiento (permiso del sistema) |
No usamos tus datos para publicidad ni elaboramos perfiles comerciales. No tomamos decisiones con efectos jurídicos basadas únicamente en tratamiento automatizado: el plan es orientativo y tú decides.
3. Seguridad
- Conexión cifrada (HTTPS/TLS) entre la app y el servidor.
- Los datos de salud del plan (valoración, límites, puntuaciones y resultados) se guardan cifrados en la base de datos con AES-256; la clave se guarda en el gestor de secretos del proveedor (Supabase Vault), no en el código.
- Acceso a la base de datos limitado por reglas de seguridad por usuario (cada persona solo puede leer sus propios datos).
- Límite de peticiones para evitar abusos.
Acceso del administrador
Para dar soporte, revisar incidencias y garantizar la seguridad del servicio, el administrador de D4 Fitness (rol developer_admin) puede ver en la ficha de tu cuenta tus datos de salud y seguimiento: fotos de progreso, peso, recuperación, dieta y check-ins. En la consola de administración tu correo se muestra enmascarado. Cada acceso queda registrado en un registro de accesos que se conserva 2 años. Base legal: tu consentimiento explícito (art. 9.2.a) y el interés legítimo en la seguridad y el soporte del servicio (art. 6.1.f).
4. Inteligencia artificial de Google (Gemini) — solo con tu permiso
Algunas funciones usan Google Gemini, un servicio de inteligencia artificial de Google:
- Análisis de tus fotos de progreso: se envían las fotos, tu sexo, tu objetivo, tu material y tus días de entreno y, si existe, el resultado de tu análisis anterior para comparar tu evolución. Tus medidas no se envían.
- Cálculo de macros a partir del texto de una comida (solo cuando nuestra base local no la reconoce).
- Asistente: se envía tu mensaje y un resumen de tu plan (objetivo, macros, peso, recuperación, último check-in e historial de series).
- Lectura de la tabla de tu entrenador o la dieta de tu nutricionista: se envían las fotos o páginas que elijas.
Antes de enviar nada te pedimos permiso explícito. Si no lo das, esas funciones no se usan y el resto de la app funciona igual. Puedes retirar el permiso en cualquier momento en Yo › Privacidad. Usamos la API de Gemini para desarrolladores de Google (Google AI, generativelanguage.googleapis.com), llamada siempre desde nuestro servidor; tu móvil nunca habla directamente con Google y Google no recibe tu correo ni tu nombre, solo el contenido necesario para la función. No usamos esos datos para entrenar modelos propios.
Usamos el nivel de pago de la API de Gemini (proyecto con facturación activada). Según las condiciones de Google para los servicios de pago de la API de Gemini, Google trata estos datos como encargado del tratamiento y no usa lo que enviamos ni sus respuestas para mejorar sus productos; tampoco para entrenar modelos de IA, salvo los que usa solo para detectar abusos. Google los conserva un tiempo limitado (55 días, según su política de supervisión de abusos de la API de Gemini) solo para detectar y prevenir usos prohibidos y cumplir obligaciones legales. Fuentes: condiciones adicionales de la API de Gemini (ai.google.dev/gemini-api/terms, actualizadas el 28/04/2026) y “Abuse monitoring” (ai.google.dev/gemini-api/docs/usage-policies, actualizada el 09/06/2026).
5. Con quién compartimos datos (encargados del tratamiento)
No vendemos tus datos. Solo los tratan, por encargo nuestro y para prestar el servicio, estos proveedores:
| Proveedor | Para qué | Datos |
|---|---|---|
| Supabase | Base de datos, autenticación, funciones de servidor y almacenamiento de fotos | Todos los datos de tu cuenta. Servidores en la Unión Europea (Irlanda, AWS eu-west-1) |
| Google (Gemini API) | Funciones con IA, solo si das tu permiso (punto 4) | Los indicados en el punto 4 |
| Google (Firebase Authentication) | Solo para migrar cuentas antiguas creadas antes de unificar el inicio de sesión: si tu cuenta es antigua, al entrar se comprueban tu correo y contraseña en Firebase una vez | Correo y contraseña |
| RevenueCat | Gestión de suscripciones | Identificador de usuario y estado de la compra; nunca datos de salud |
| Google Play / Apple App Store | Cobro de la suscripción | Lo gestiona la tienda con tu cuenta de la tienda; D4 no ve tu tarjeta |
| Expo (EAS Update) | Descargar actualizaciones de la app | Datos técnicos del dispositivo (versión, plataforma, dirección IP) |
| Health Connect (Google, en tu móvil) | Lectura de peso, pasos y sueño, solo si lo activas | Los datos se leen en el móvil |
| Apple Salud (HealthKit, en tu iPhone) | Lectura de peso, pasos, sueño y energía activa, solo si lo activas | Los datos se leen en el móvil; Apple no recibe datos de D4 |
Transferencias internacionales: la base de datos y las fotos están en la UE (Irlanda). Google (Gemini y Firebase), RevenueCat y Expo pueden tratar datos en EE. UU.; esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (proveedores adheridos) y, en su defecto, en las cláusulas contractuales tipo de la Comisión Europea incluidas en sus acuerdos de tratamiento de datos.
6. Cuánto tiempo guardamos tus datos
- Mientras tengas la cuenta activa.
- El registro de accesos del administrador se conserva 2 años.
- Si eliminas la cuenta (Yo › Eliminar cuenta y datos), se borran de inmediato tu cuenta, tus datos de salud, tu historial y tus fotos de progreso. Las copias de seguridad del proveedor (Supabase) se conservan según el plan contratado y se sobrescriben de forma automática. No restauramos datos de cuentas eliminadas.
- Los datos que guarda solo tu móvil (recorridos GPS, borradores, preferencias) se borran al desinstalar la app o borrar sus datos.
- Importante: eliminar la cuenta no cancela una suscripción pagada en Google Play o App Store. Cancélala en la tienda (Google Play › Pagos y suscripciones › Suscripciones).
7. Tus derechos
Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tus consentimientos, escribiendo a d4fitness.support@gmail.com desde el correo de tu cuenta. Te respondemos en un plazo máximo de un mes.
- Desde la propia app puedes: corregir tu valoración y tus datos, retirar el permiso de IA (Yo › Privacidad) y eliminar tu cuenta y tus datos (Yo › Eliminar cuenta y datos).
- La copia de tus datos (acceso y portabilidad) se solicita por correo; te la enviaremos en un formato estructurado y de uso común. La app no tiene, por ahora, un botón de exportación.
- Retirar un consentimiento no afecta a la licitud del tratamiento anterior.
- Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
8. Edad mínima
D4 Fitness no está dirigida a menores de 16 años: la valoración inicial solo admite edades de 16 a 90 años. Si detectamos que una cuenta pertenece a un menor de 16, la eliminaremos. El análisis de fotos corporales solo está disponible para mayores de 18 años, y la app lo pide confirmar antes de subir fotos.
9. Naturaleza del servicio
D4 Fitness es una herramienta de bienestar y entrenamiento orientativa. No es un producto sanitario ni sustituye el consejo de un profesional de la salud.
10. Cambios en esta política
Si cambiamos qué datos tratamos o con quién, te avisaremos en la app antes de que el cambio se aplique y, cuando haga falta, te volveremos a pedir permiso.
Última actualización: 19 de octubre de 2026