Política de Privacidad de Strenqo

1. Editor

Strenqo es editado y gestionado por Andreas Mondo, empresario individual italiano, en calidad de responsable del tratamiento conforme al art. 4.7 del RGPD.

Para cualquier solicitud relativa a sus datos personales puede ponerse en contacto con nosotros en la dirección indicada arriba o a través de la función en la app (Perfil → Privacidad → Solicitudes).

2. Categorías de datos que tratamos

2.1 Datos de identificación y acceso

• Dirección de correo electrónico
• Contraseña (almacenada con hash por Supabase Auth)
• Identificador UUID de usuario
• Proveedor de autenticación utilizado (Google, Apple)
• Nombre (opcional)

2.2 Datos de identidad y perfil

• Fecha de nacimiento (almacenada tanto en texto plano en formato ISO YYYY-MM-DD en el perfil, como en forma de hash SHA-256 en el registro de consentimiento AgeGateProof junto con el año en texto plano y el umbral de edad aplicado)
• Sexo (campo libre, opcional)
• País de residencia
• Idioma preferido
• Foto de perfil (opcional)

2.3 Datos relativos a la salud (categoría especial conforme al Art. 9 RGPD)

Strenqo es una app de fitness y nutrición y trata datos que pueden estar comprendidos en la categoría especial de “datos relativos a la salud” según el Art. 9.1 RGPD:

• Datos biométricos: peso, altura, fotos de control corporal, medidas corporales (cintura, pecho, brazos)
• Datos de entrenamiento: sesiones de entrenamiento, ejercicios, repeticiones, cargas, duración, intensidad percibida, frecuencia cardíaca media y máxima, calorías quemadas, esfuerzo (strain)
• Datos cardio/deporte: duración, calorías, trazado GPS opcional (con la opción de aplicar un “GPS Clip” que oculta los primeros y últimos 200 metros del recorrido)
• Datos nutricionales: comidas consumidas, alimentos, macronutrientes (proteínas, carbohidratos, grasas), calorías diarias, hidratación (ml de agua), recetas personalizadas, intolerancias/alergias alimentarias
• Objetivos y perfil de salud: objetivo de entrenamiento, nivel de actividad, tipo de dieta, objetivo calórico, objetivos de macros
• Datos de wearables (lectura): si autoriza la integración con Apple HealthKit (iOS) o Google Health Connect (Android), leemos de su dispositivo: frecuencia cardíaca, HRV, frecuencia cardíaca en reposo, SpO₂, análisis del sueño y fases del sueño, temperatura de la muñeca durante el sueño (en dispositivos Apple compatibles), pasos, distancia, calorías activas y basales, peso corporal, porcentaje de grasa corporal, circunferencia de cintura, flujo menstrual (datos del ciclo, utilizados exclusivamente para ajustar el valor de referencia de HRV — nunca compartidos con terceros)
• Datos de wearables (escritura, opcional y separado): con un permiso separado del SO, Strenqo también puede escribir en HealthKit / Health Connect: sesiones de entrenamiento completadas, totales nutricionales diarios, peso y porcentaje de grasa corporal
• Datos de dispositivos Bluetooth (BLE) de frecuencia cardíaca: cuando se empareja un sensor BLE de frecuencia cardíaca compatible (p. ej. Polar, WHOOP, Garmin, o un HRM BLE genérico), Strenqo lee datos en vivo de frecuencia cardíaca y de intervalo RR durante el entrenamiento. Strenqo no está asociada a estos fabricantes
• Integraciones cloud wearable (OAuth — opcionales): si autoriza la integración mediante OAuth con una plataforma de fitness de terceros (actualmente Whoop y Oura — véase §4.A para la lista completa, que podrá incluir otros proveedores en el futuro, como Garmin Connect), los servidores de la plataforma transmiten a nuestro backend Supabase, por cuenta suya, únicamente los datos biométricos en bruto estrictamente necesarios para los algoritmos de recuperación y strain de Strenqo: HRV (RMSSD), frecuencia cardíaca en reposo, fases del sueño (duraciones de sueño profundo/REM/ligero/despierto), desviación de temperatura de la muñeca cuando esté disponible, muestras de frecuencia cardíaca por entrenamiento (cuando la API del tercero las exponga), marcas de tiempo de inicio/fin del entrenamiento y tipo de deporte. Deliberadamente no importamos las puntuaciones propietarias del proveedor (Whoop recovery/strain/sleep score, Oura readiness/sleep/activity score, etc.): Strenqo calcula su propia puntuación a partir de los datos biométricos en bruto, de modo que los mismos valores fisiológicos produzcan el mismo resultado con independencia del dispositivo. El refresh token OAuth se cifra en reposo. Puede revocar la conexión en cualquier momento desde Perfil → Salud conectada y también desde el panel de cuenta del propio proveedor. Véase §4.A para el análisis de responsabilidad y §7 sobre transferencias extra-UE
• Live Activities (iOS): durante un entrenamiento en curso, la app muestra el entrenamiento activo en la Dynamic Island / pantalla de bloqueo. No salen datos de su dispositivo para esta función
• Conversaciones del AI Coach: si activa el interruptor del AI Coach (Perfil → Soporte, privacidad y legal), el texto de sus mensajes y el contexto asociado (perfil, entrenamientos recientes, peso) se envía a OpenAI para generar respuestas personalizadas. El interruptor está activado por defecto. Si no desea que sus datos de salud se envíen a OpenAI (EE. UU.), desactívelo antes de usar el Coach

2.4 Fotos subidas por el usuario

• Fotos de control corporal (bucket progress-photos)
• Fotos de alimentos (bucket food-images)
• Medios opcionales de entrenamiento (bucket workout-media)

Todos los buckets de almacenamiento de fotos son privados y accesibles únicamente por el usuario propietario mediante políticas Row-Level Security.

2.5 Datos de uso del servicio

• Preferencias (tema, idioma, unidades, recordatorios, horas de silencio)
• Ejercicios y recetas favoritos
• Estado de los consentimientos (AI Coach, informes de fallos)
• Token de notificaciones push
• Estado de suscripción Pro (gestionado mediante RevenueCat)

2.6 Datos técnicos y de diagnóstico

• Información del dispositivo (modelo, SO, versión de la app, versión de runtime)
• Registros de fallos y stack traces, solo si ha activado “Informes de fallos” (§5.2). Cuando está activo, Sentry también recibe un identificador seudonimizado del usuario (UUID, no el correo electrónico)
• Contadores internos antiabuso (rate limiting)
• Registros de auditoría para acciones sensibles desde el punto de vista de la privacidad
• Dirección IP para geolocalización de mercado: en el primer arranque, si los mecanismos locales (zona horaria, idioma del sistema) no son suficientes, la app puede enviar una solicitud a dos servicios de geolocalización por IP (ipwho.is y ipapi.co — véase §4)

2.7 Permisos del sistema operativo

La app solicita los siguientes permisos del SO (revocables en cualquier momento en Ajustes → Strenqo):

• Cámara: códigos de barras de alimentos, fotos de alimentos, fotos de hojas de entrenamiento/nutrición, foto de perfil
• Galería de fotos: lectura de fotos importadas por el usuario; escritura de la imagen del mapa de la ruta en la galería cuando el usuario la guarda expresamente
• Ubicación: durante un entrenamiento al aire libre activo. El seguimiento continúa con la pantalla bloqueada o con la app en segundo plano, mientras la sesión de cardio esté abierta. El GPS Clip oculta los primeros y últimos 200 metros
• Bluetooth: escaneo y conexión a pulsómetros BLE compatibles
• Notificaciones push: recordatorios de entrenamiento/dieta/hidratación/check-in
• HealthKit / Health Connect: lectura y escritura de datos de salud (véase §2.3)
• Inicio de sesión con Apple/Google: si elige iniciar sesión con Apple o Google
• Notificaciones locales / Live Activities: notificaciones durante el entrenamiento, temporizador de descanso, sesión en curso en la Dynamic Island

Strenqo no solicita ni lee: IDFA (iOS) o Advertising ID (Android); contactos; calendario; micrófono; nunca se invoca ATTrackingManager.

3. Finalidades y bases jurídicas del tratamiento

Nota sobre la granularidad del consentimiento en el registro. En el registro recopilamos un consentimiento acumulado (única casilla de verificación) que cubre la aceptación de las Condiciones, esta Política y el tratamiento de los datos de salud/bienestar conforme al Art. 9.2.a RGPD. Los tratamientos adicionales u opcionales se rigen por interruptores granulares separados en Perfil → Soporte, privacidad y legal.

4. Destinatarios y encargados del tratamiento

Lista completa de subencargados con garantías en /legal/subprocessors.es.html.

Importante: Strenqo no vende sus datos personales, no comparte datos con fines de publicidad comportamental entre contextos y no utiliza SDK publicitarios de terceros ni de seguimiento comportamental.

4.A Fuentes de datos de terceros vía OAuth (responsables autónomos)

Las siguientes plataformas son responsables autónomos del tratamiento que, previa autorización suya vía OAuth, transmiten sus datos biométricos a nuestro backend. No son encargados del tratamiento de Strenqo conforme al art. 28 RGPD: recopilan datos de su dispositivo wearable conforme a su propia política de privacidad, y usted decide si autorizarles a compartir esos datos con nosotros. Se enumeran aquí en aras de la plena transparencia sobre el flujo de datos.

Cláusula tipo — futuros proveedores cloud wearable. Strenqo podrá, en el futuro, integrar otras plataformas cloud wearable bajo el mismo modelo basado en OAuth (ejemplos: Garmin Connect, Polar Flow, Fitbit / Google Fit, Suunto, Coros, Withings, Samsung Health). Cada nuevo proveedor añadido a esta lista se regirá por el mismo principio (“importamos únicamente los datos biométricos en bruto estrictamente necesarios; el algoritmo sigue siendo nuestro”) y se divulgará en esta sección con una antelación razonable antes de la activación, mediante el flujo notify-policy-update descrito en §13. La lista de proveedores actualmente activos también se publica, en tiempo real, en https://strenqo.eu/legal/subprocessors.html §3.

Revocación. Desconectar la integración desde Perfil → Salud conectada → Desconectar revoca el refresh token OAuth tanto en nuestro backend como en el proveedor; además, puede revocar la autorización desde el panel del propio proveedor en cualquier momento. Tras la desconexión, sus datos históricos ya importados en Strenqo permanecen en nuestra base de datos conforme a las normas de conservación del §6 hasta la eliminación de la cuenta o una solicitud específica de supresión.

5. Consentimientos gestionados por el usuario

5.1 Consentimiento de datos de salud (Art. 9.2.a RGPD)

Recogido durante el registro mediante una casilla de verificación específica, registrado en el log AgeGateProof. La revocación puede solicitarse en strenqo-support@strenqo.eu; se atenderá en un plazo de un mes (Art. 12.3 RGPD). La eliminación de la cuenta (véase §8) revoca el consentimiento y borra todos los datos asociados.

5.2 Consentimiento de informes de fallos (Sentry)

• Sentry nunca se inicializa antes de que se haya cargado el estado del consentimiento.
• Valor por defecto según el mercado, una vez disponible el país de residencia:
  • UE, EEE, Reino Unido, Suiza y cualquier país no reconocido: por defecto desactivado (opt-in)
  • EE. UU., Canadá, Australia, Nueva Zelanda, Japón, Singapur, Corea del Sur: por defecto activado (opt-out)
• Modificable en cualquier momento en Perfil → Soporte, privacidad y legal.

5.3 Consentimiento del AI Coach

Interruptor separado en Perfil → Soporte, privacidad y legal → Consentimiento de datos AI. El interruptor está activado por defecto. Cuando está activado, las funciones de IA pueden enviar a OpenAI (EE. UU.) sus mensajes y contexto (perfil, entrenamientos recientes, peso). Desactívelo antes de usarlo si no lo desea. La desactivación inhibe completamente las funciones de IA.

5.4 Notificaciones push

Se solicitan a través del sistema operativo. Granularidad por tipo gestionable en Perfil → Recordatorios.

6. Conservación de los datos

7. Transferencias extra-UE

1. EU-US Data Privacy Framework (decisión de adecuación de la Comisión Europea de 10 de julio de 2023)
2. Cláusulas Contractuales Tipo (SCC) como fallback paralelo
3. Evaluación de Impacto de la Transferencia (TIA) por cada transferencia

8. Sus derechos

9. Seguridad de los datos

• Row-Level Security (RLS) activo en todas las tablas de la base de datos
• TLS para todas las comunicaciones
• Hashing de la contraseña mediante Supabase Auth
• Rate limiting y registro de auditoría en las Edge Functions
• Webhooks con verificación de firma en tiempo constante
• Redacción de PII en Sentry antes de la transmisión de telemetría

En caso de violación de datos, Strenqo notificará a la autoridad de control competente en un plazo de 72 horas (Art. 33 RGPD) y a los interesados sin dilación indebida conforme al Art. 34 RGPD.

10. Menores

Umbrales mínimos de edad (a fecha de 17-05-2026):

• UE / EEE / Italia / Suiza: 16 años
• España: 14 años (LOPDGDD, art. 7)
• Reino Unido, EE. UU., Canadá: 13 años
• Australia: 15 años
• País no reconocido: 16 años (valor por defecto conservador)

11. Decisiones automatizadas

Las funciones del AI Coach no producen decisiones jurídicamente vinculantes, no constituyen diagnóstico médico ni producen efectos jurídicos o de manera similarmente significativa conforme al Art. 22.1 RGPD — el usuario conserva plena capacidad para aceptar, modificar, ignorar o desactivar las sugerencias en cualquier momento.

12. Aviso legal sobre fitness y medicina

Véase el Aviso Legal de Salud. Strenqo no es un dispositivo médico, no sustituye la consulta profesional y sus sugerencias no pueden utilizarse para autodiagnóstico ni tratamiento.

13. Modificaciones de la política

Las modificaciones sustanciales se notificarán en la app y por correo electrónico. Historial de cambios: /legal/privacy-policy-changelog.html.

14. Contactos

• Responsable: Andreas Mondo (empresario individual)
• Domicilio: Via Pianezza 16, 10040 Givoletto (TO), Italia
• IVA: IT13352600012 · Código fiscal: MNDNRS05B17L219J
• Correo electrónico: strenqo-support@strenqo.eu
• PEC: andreasmondo@ultracert.it
• Representante en la UE (Art. 27 RGPD): no aplicable — el responsable está establecido en Italia (UE)