Aviso de Seguridad Infantil de Gila

Esta es una traducción de cortesía. La versión vinculante es la inglesa; en caso de discrepancia, prevalece la versión en inglés.

Resumen en lenguaje llano: Gila es para adultos de 16 años en adelante. No aceptamos a sabiendas usuarios menores de 16 años. Si descubrimos que un usuario tiene menos de 16 años (o menos de la edad de consentimiento digital local, la que sea más alta), suspenderemos la cuenta, eliminaremos los datos en un plazo de siete días, y notificaremos a la dirección registrada. Este aviso explica por qué elegimos 16+, qué ocurre si un menor logra pasar la puerta de verificación, y cómo pueden contactarnos padres, tutores y autoridades de control.

Este aviso es complementario a la Política de Privacidad principal. Las notas específicas por jurisdicción (UE/Reino Unido, Türkiye, Suiza) hacen referencia cruzada a este documento para todas las cuestiones relativas a menores.

1. Edad mínima y cómo la comprobamos

Gila exige que cada usuario tenga 16 años de edad o más. La comprobación de edad se realiza en dos momentos:

Creación de cuenta — el paso LegalConsentGate del onboarding presenta una casilla que el usuario debe marcar de forma afirmativa para confirmar que tiene al menos 16 años de edad. No marcamos esta casilla automáticamente; el formulario no avanza hasta que el usuario realiza una acción positiva. El registro de consentimiento (marca de tiempo, versión de la política, país derivado de la IP, versión de la app) se conserva en public.consent_log como evidencia de auditoría conforme al artículo 7(1) del RGPD y el Madde 5 de la KVKK.
Autodeclaración continua — cuando un usuario edita más adelante su perfil (por ejemplo, actualiza los campos de fecha de nacimiento o año de nacimiento usados para la personalización de objetivos de actividad), la edad resultante se vuelve a calcular. Un cambio de perfil que implicaría una edad por debajo de 16 años se rechaza a nivel de aplicación.

Actualmente no realizamos verificación de edad basada en documento de identidad oficial ni verificación de edad por terceros (por ejemplo, Yoti, AgeChecked). Gila es una app de seguimiento de hábitos y salud dirigida a adultos que usan medicación GLP-1 y contenido de cambio de conducta enfocado en adultos; la verificación por documento de identidad sería desproporcionada frente al perfil real de riesgo de menores de edad (el propio producto tiene poco atractivo para usuarios menores de 16 años). Reevaluamos esta postura anualmente y adoptaríamos la verificación de edad por terceros si cambian las orientaciones regulatorias (por ejemplo, si la Information Commissioner's Office del Reino Unido endurece los métodos recomendados del Age-Appropriate Design Code) o si los registros de menores de edad observados superan un umbral interno.

En la fecha de entrada en vigor de este aviso estamos en fase previa al lanzamiento y no hemos observado registros de menores de edad frente a una línea de base auditada; la primera cifra a 6 meses se añadirá en el próximo ciclo de revisión.

2. Por qué 16+ y no una edad más baja

Gila opera globalmente. Distintas jurisdicciones establecen distintos umbrales de "edad de consentimiento digital" — la edad a la que un menor puede dar un consentimiento válido para un servicio de la sociedad de la información sin autoridad parental:

Jurisdicción	Edad de consentimiento digital	Fuente
Alemania	16	RGPD art. 8(1), transpuesto por la BDSG
Países Bajos	16	UAVG
Türkiye	18 (capacidad civil general para un consentimiento explícito válido)	Código Civil turco art. 13 + orientación del Consejo de la KVKK
Francia	15	Loi Informatique et Libertés art. 7-1
Reino Unido	13	UK Data Protection Act 2018 § 9
España	14	LOPDGDD art. 7
Estados Unidos (federal)	13 (umbral de la COPPA para la "recopilación consciente de datos de menores")	15 USC §§ 6501-6506
Predeterminado del EEE	16 (los Estados miembros pueden reducirlo a 13)	RGPD art. 8(1)

Elegir el valor más alto (16) evita la ramificación por región, elimina la necesidad de construir flujos de consentimiento parental para cualquier mercado, y ofrece un estándar global único defendible. La contrapartida es que excluimos a menores de entre 13 y 15 años que podrían usar el servicio lícitamente bajo su régimen local. Consideramos esto aceptable porque:

El producto está diseñado para procesos de salud metabólica de adultos (seguimiento de medicación GLP-1, escaneo de calorías, reflexiones de ánimo y diario).
Tratamos datos de categoría especial del artículo 9 / Madde 6 a escala — peso corporal, medicación, dosis, gravedad de efectos secundarios, datos de estado mental, ingesta dietética.
Usamos contenido generado por IA (coaching con Google Gemini, visión de alimentos, informes narrativos). Los usuarios menores de 18 años activarían la lista de comprobación del estándar 15 del Age-Appropriate Design Code del Reino Unido y las salvaguardas específicas para menores del artículo 5(1)(b) de la Ley de IA de la UE, ninguna de las cuales estamos actualmente en condiciones de operar.
Un umbral más bajo nos obligaría a construir una UX de cuenta infantil independiente, configuraciones de privacidad alta por defecto, divulgaciones simplificadas, controles de contenido apto por edad, y un flujo de consentimiento parental. Eso supondría una inversión de ingeniería de varios trimestres para una base esperada de usuarios menores muy pequeña.

Türkiye merece una explicación adicional porque la ley civil turca establece la plena capacidad contractual a los 18 años y el Consejo de la KVKK ha manifestado (Decisión 2020/65 y orientaciones relacionadas) que un açık rıza (consentimiento explícito) válido para datos de categoría especial de un menor por debajo de la mayoría de edad generalmente requiere autorización parental. Por tanto, nuestra puerta de 16+ permite que los usuarios de 16 y 17 años en Türkiye usen el servicio para funciones que no sean de categoría especial, mientras que el LegalConsentGate exige por separado la confirmación explícita de que el usuario ha alcanzado la edad a la que puede otorgar un consentimiento explícito válido conforme a su ley local. Consulta ./jurisdictions/turkey.md § 10 para la versión en turco de esta divulgación.

3. Qué ocurre si un usuario menor de 16 años se registra de todos modos

Nos apoyamos en la autodeclaración, por lo que es previsible que algunos usuarios menores de edad se registren de forma deshonesta. Cuando descubrimos una cuenta de un menor de edad — a través de una denuncia de un padre, madre, tutor, colegio, docente, autoridad de control, o de nuestras propias señales de moderación (por ejemplo, una revisión de contenido del diario que revela referencias a eventos propios de la edad escolar) — seguimos este procedimiento:

Suspensión inmediata (T+0) — la cuenta se desactiva en un plazo de un día hábil desde su descubrimiento. El usuario ya no puede iniciar sesión, registrar nuevos datos, ni recibir notificaciones.
Notificación por correo electrónico (T+0 a T+1) — se envía un aviso a la dirección de correo registrada explicando la suspensión, el motivo, el derecho a impugnarla (por ejemplo, si la afirmación de minoría de edad es un error y el usuario en realidad tiene 16 años o más), y cómo contactarnos para una apelación verificada. Si un padre, madre o tutor hizo la denuncia y proporcionó sus datos de contacto, también se le notifica.
Eliminación de datos (T+0 a T+7) — en un plazo de siete días desde la suspensión (o siete días después de que se cierre la ventana de apelación si se presenta una), se eliminan el registro de la cuenta, todos los datos personales vinculados, todos los objetos de almacenamiento (avatares, fotos de evidencia de hábitos), todos los tokens push, todas las suscripciones al boletín, y todas las huellas en los encargados del tratamiento posteriores (Firebase, RevenueCat cuando corresponda), mediante el mismo proceso usado para las solicitudes de eliminación ordinarias. Las copias de seguridad caducan en 30 días adicionales.
Conservación del registro de consentimiento — el recibo de consentimiento del registro original se conserva como evidencia de auditoría conforme al artículo 7(1), con la clave foránea user_id puesta a NULL.
Registro interno — el descubrimiento, la suspensión y la eliminación se registran en nuestro libro de DSAR con el disparador (por ejemplo, "autodenuncia COPPA de un padre") y el resultado (por ejemplo, "eliminado en T+5 días").
Reembolsos — si la cuenta tenía alguna suscripción de pago, reembolsamos el periodo más reciente como gesto de buena voluntad, independientemente de la ventana de reembolso normal de la tienda de apps. No conservamos los datos de pago del usuario; los reembolsos se procesan a través de la App Store de Apple o Google Play en su flujo normal.

Si recibimos una denuncia creíble de que la cuenta de un menor contiene contenido publicado por un adulto (por ejemplo, un adulto escribiendo entradas de diario en la cuenta de un menor), además preservamos la evidencia según lo requerido para cualquier derivación penal y consultamos a la autoridad turca o del país de destino que corresponda.

4. COPPA (Estados Unidos, menores de 13 años)

La Children's Online Privacy Protection Act de EE. UU. (15 USC §§ 6501-6506) regula la "recopilación consciente" de información personal de menores de 13 años. Nuestra postura:

No recopilamos a sabiendas información personal de menores de 13 años.
Gila no está dirigida a menores. Nuestro marketing, contenido y conjunto de funciones se dirigen a adultos que usan medicación GLP-1 o persiguen objetivos de cambio de conducta propios de adultos.
Si nos enteramos de que hemos recopilado información personal de un menor de 13 años: (a) suspenderemos la cuenta de inmediato, (b) eliminaremos la información personal de nuestros sistemas en un plazo de 30 días, (c) enviaremos un aviso a la dirección de correo registrada (que, en este escenario, la Regla COPPA de la FTC dispone que debe estar razonablemente diseñada para llegar a un padre o madre — proporcionamos una URL de aviso dirigida a padres e instrucciones para eliminar con prontitud), y (d) instruiremos a los encargados del tratamiento posteriores (Firebase, RevenueCat) para que eliminen cualquier dato reflejado bajo el plazo de puerto seguro de "conocimiento real" de la COPPA.
Los padres o madres que crean que su hijo o hija ha proporcionado información personal a Gila pueden contactar con dpo@gila.coach con la dirección de correo de la cuenta del menor; verificaremos la identidad del padre o madre (conforme a los métodos de consentimiento parental verificable listados en 16 CFR § 312.5(b)) y procesaremos la solicitud de eliminación sin cargo.

No operamos un subproducto para menores de 13 años conforme a la COPPA (por ejemplo, un tipo de cuenta "Gila Kids" con consentimiento parental verificable y recopilación limitada de información personal). Construir ese subproducto está en pausa y no forma parte de la hoja de ruta de v1 ni v2.

5. GDPR-K y las edades de consentimiento digital de los Estados miembros de la UE

El artículo 8 del RGPD aplica la regla del "consentimiento del menor en relación con los servicios de la sociedad de la información" entre los 13 y los 16 años, con la edad precisa fijada por cada Estado miembro en su ley de transposición. Cuando un menor por debajo de la edad de consentimiento digital local usa Gila, la base jurídica del tratamiento debe proceder del titular de la responsabilidad parental, en lugar del propio menor.

Como nuestra puerta está fijada en 16 años, estamos por encima del umbral en todos los Estados miembros de la UE y aceptamos el consentimiento otorgado por el propio usuario en todos ellos. Si un padre, madre o tutor afirma que un menor de 16 años ha usado Gila en un Estado miembro cuya edad de consentimiento digital es más baja (por ejemplo, un menor de 14 años en España), tratamos la cuenta del usuario de la misma forma que cualquier descubrimiento de minoría de edad: suspensión, notificación, eliminación en un plazo de 7 días. No mantenemos una vía paralela de "cuenta con consentimiento parental validado" porque — como se explica en la § 2 anterior — construir una sería desproporcionado frente a la población de menores de edad a la que damos servicio.

Referencias de transposición de los Estados miembros para la edad de consentimiento digital en la UE/EEE (no exhaustivo): Bélgica 13, Croacia 16, Chipre 14, Chequia 15, Dinamarca 13, Estonia 13, Finlandia 13, Francia 15, Alemania 16, Grecia 15, Hungría 16, Islandia 13, Irlanda 16, Italia 14, Letonia 13, Liechtenstein 16, Lituania 14, Luxemburgo 16, Malta 13, Países Bajos 16, Noruega 13, Polonia 16, Portugal 13, Rumanía 16, Eslovaquia 16, Eslovenia 15, España 14, Suecia 13. [VARIABLE — verificado por última vez: 2026-05-16; comprobar las publicaciones de las autoridades de control antes de la próxima revisión]

6. Age-Appropriate Design Code del Reino Unido

El Age-Appropriate Design Code de la ICO del Reino Unido (en vigor desde el 2 de septiembre de 2021) establece 15 estándares que deben cumplir los "servicios en línea susceptibles de ser usados por menores" respecto a los usuarios menores de 18 años. Gila no está diseñada para usuarios menores de 18 años — nuestro contenido, marketing, canales de distribución y conjunto de funciones están enfocados en adultos — y aplicamos la puerta de 16+ para mantener a la población de usuarios fuera de la cohorte menor de 18 años.

Sin embargo, si en algún momento las señales de un usuario del Reino Unido indican que podría ser menor de 18 años (por ejemplo, una edad autodeclarada en una edición de perfil que posteriormente revela un estatus menor de 18, o contenido dentro de la app que sugiere un evento propio de la edad escolar), tratamos la cuenta como sujeta a las expectativas de privacidad alta por defecto del AADC hasta que se resuelva la situación. En la práctica esto significa: analítica desactivada, correo de marketing suprimido, consentimiento de funciones de IA revocado, sin perfilado inferencial. Se ofrece al usuario una vía clara para (a) confirmar el estatus de 16+ y reactivar las funciones si lo desea, o (b) solicitar la eliminación bajo el procedimiento de minoría de edad de la § 3.

Actualmente no operamos un tipo de cuenta separado para menores de 18 años conforme al AADC del Reino Unido. La orientación de la ICO no exige que los operadores de servicios claramente dirigidos a adultos lo hagan; exige que los operadores tomen medidas razonables para asegurarse de la edad del usuario, lo cual nuestra puerta de autodeclaración satisface sujeta a revisión continua. Revisaremos esta postura si la ICO actualiza el AADC para exigir una verificación más estricta para los servicios de datos de salud.

7. Denunciar inquietudes sobre un menor

Padres, madres, tutores, docentes, administradores de colegios, autoridades de control, periodistas, o cualquier parte interesada pueden denunciar una cuenta de un menor de edad o una exposición de datos de un menor escribiendo a dpo@gila.coach con:

La dirección de correo de la cuenta (si se conoce)
El motivo de la inquietud (por ejemplo, "mi hijo/a me dijo que se creó una cuenta, tiene 14 años")
Si quien denuncia es el padre, la madre o el tutor legal (no exigimos prueba en la recepción, pero para tramitar la denuncia podemos solicitar una verificación razonable, como una copia de un documento de patria potestad, redactada para eliminar datos personales no relacionados)
Un canal y un idioma de respuesta preferidos (inglés, turco, español)

Acusamos recibo de estas denuncias en un plazo de 72 horas y completamos el procedimiento de suspensión y eliminación en un plazo de siete días, tal como se describe en la § 3.

Las denuncias también pueden enviarse por escrito a la dirección registrada del responsable del tratamiento (disponible bajo solicitud en dpo@gila.coach o ante una autoridad de control). Las personas denunciantes residentes en Türkiye pueden ejercer sus derechos del Madde 11 de la KVKK a través del mismo canal; consulta ./jurisdictions/turkey.md § 8 para el procedimiento formal de solicitud.

8. Contacto

Delegada de Protección de Datos: dpo@gila.coach — canal principal para cualquier inquietud sobre la cuenta o los datos de un menor
Soporte general: support@gila.coach
Representante en la UE (RGPD artículo 27): en proceso de designación; mientras tanto, contacta con dpo@gila.coach
Representante en el Reino Unido (UK GDPR artículo 27): en proceso de designación; mientras tanto, contacta con dpo@gila.coach

Las autoridades de control relevantes para los datos de menores se listan en ./jurisdictions/eu-uk.md § 4 (ICO, AEPD, CNIL, BfDI), ./jurisdictions/turkey.md § 9 (Consejo de la KVKK), y ./jurisdictions/switzerland.md § 7 (FDPIC).