Tus Derechos de Privacidad — Cómo Usarlos

Esta es una traducción de cortesía. La versión vinculante es la inglesa; en caso de discrepancia, prevalece la versión en inglés.

Tus datos, tu decisión. Esta página es el menú — cada acción que puedes emprender, cómo solicitarla, y qué haremos cuando lo hagas. Si prefieres saltarte el menú y escribir directamente a una persona, dpo@gila.coach te pone en contacto con Sezen.

Los marcos jurídicos detrás de estos derechos (RGPD, UK GDPR, la revFADP suiza, la KVKK de Türkiye, la LGPD de Brasil, la PIPEDA de Canadá + la Ley 25 de Québec, la Privacy Act de Australia, y las leyes estatales de privacidad de EE. UU., incluidas la CCPA/CPRA de California, la MHMDA de Washington, la CPA de Colorado, la CTDPA de Connecticut, la VCDPA de Virginia, la TDPSA de Texas, la OCPA de Oregón y equivalentes) se enumeran por transparencia. No necesitas saber cuál se aplica — solo dinos qué quieres.

1. Qué puedes pedirnos que hagamos

Tienes siete derechos distintos. Puedes ejercerlos uno a la vez o varios juntos.

1.1 Acceso — obtener una copia de tus datos

Puedes pedirnos que te enviemos una copia de cada campo de datos personales que tenemos sobre ti. Ejemplos: tu perfil de cuenta, tus registros de peso, tus inyecciones de medicación, tus entradas de ánimo, tus registros de alimentación, tu historial de hábitos, tus perspectivas generadas por IA, nuestro registro de comunicaciones, y tus recibos de consentimiento.

Qué recibes: un archivo JSON estructurado (o un conjunto de archivos) que contiene cada fila de nuestra base de datos vinculada a tu cuenta, más un resumen en lenguaje llano de lo que contiene cada sección. Lo entregamos mediante una URL de descarga firmada, de un solo uso, válida durante 24 horas.

Límites: el derecho de acceso no cubre información sobre otras personas. Si tu diario de texto libre menciona a otra persona, esa parte es tuya. Si nos pides "todos los datos sobre un amigo mío", no podemos ayudarte. También podemos redactar un pequeño número de campos cuando divulgarlos revelaría algo sobre otra persona o incumpliría una obligación contractual de confidencialidad que tenemos.

1.2 Rectificación — corregir algo que está mal

Puedes pedirnos que corrijamos cualquier dato personal que tengamos sobre ti que sea inexacto o incompleto.

La mayor parte puedes hacerla tú mismo, al instante, dentro de la app: edita tu perfil, edita cualquier registro de peso, edita una sesión de comida, edita una inyección de medicación, edita tu nombre. Si quieres que corrijamos algo que no es editable por el usuario — por ejemplo, un campo de auditoría generado por el sistema o un valor reflejado de un encargado del tratamiento externo — escríbenos y lo haremos.

Límites: no podemos reescribir la historia. Las entradas pasadas que registraste permanecen como estaban en su momento, pero puedes editarlas, eliminarlas o anotarlas.

1.3 Supresión — eliminar tus datos ("derecho al olvido")

Puedes pedirnos que eliminemos tu cuenta y todos los datos personales vinculados.

Vía más rápida: abre la app de Gila y ve a Ajustes → Cuenta → Eliminar cuenta (Apple exige esta vía dentro de la app). O usa el formulario web en gila.coach/delete-account.

Qué eliminamos:

Tu registro de cuenta y todas las filas vinculadas en nuestra base de datos (registros de peso, inyecciones de medicación, efectos secundarios, entradas de ánimo, registros de alimentación, registros de hábitos, evidencia de hábitos, entradas del diario, perspectivas derivadas de IA, estado de consentimiento y preferencias de correo).
Tus fotos en nuestro bucket de almacenamiento (fotos de perfil y fotos de evidencia de hábitos).
Tus tokens de dispositivo para notificaciones push en Firebase.
Tu registro de cliente en RevenueCat (cuando las suscripciones estén activas).

Qué permanece, y por qué:

Recibos de consentimiento (consent_log) — se conservan como evidencia de auditoría de que el consentimiento se recabó válidamente, con tu user_id puesto a NULL para que no puedan identificarte. El artículo 5(2) del RGPD y el artículo 12 de la KVKK nos exigen poder demostrar el cumplimiento.
Copias de seguridad — los datos de producción se purgan en un plazo de 24 horas; las copias de seguridad caducan en un plazo de 30 días conforme a nuestra rotación normal.
Analítica agregada anonimizada — recuentos, porcentajes, embudos y cifras no identificativas similares pueden persistir porque no pueden vincularse de nuevo a ti.
Contribuciones comunitarias que hayas elegido publicar (un hábito, una pila de hábitos) permanecen en la Biblioteca de Hábitos como parte del corpus, pero tu nombre visible se anonimiza.

Límites: podemos negarnos a la supresión en la medida en que estemos obligados por ley a conservar ciertos datos — por ejemplo facturas y registros fiscales (la Ley de Procedimiento Tributario turca exige normalmente una conservación de 5 años; se aplican reglas equivalentes en otras jurisdicciones fiscales). Te diremos exactamente qué conservamos y por qué.

Para más detalle sobre la supresión específica de datos de salud, consulta el Aviso de Datos de Salud.

1.4 Portabilidad — obtener tus datos en un formato reutilizable

Puedes pedirnos que te entreguemos los datos que nos proporcionaste en un formato estructurado, de uso común y de lectura automática, para que puedas llevarlos a otro servicio. En la práctica esto se solapa casi por completo con el derecho de acceso (sección 1.1) y produce la misma exportación JSON.

Límites: la portabilidad cubre los datos que tú proporcionaste, no los datos que hemos derivado de los tuyos mediante inferencia de IA o analítica. Esos campos derivados siguen estando disponibles bajo el derecho de acceso, pero no son estrictamente "portables" en el sentido jurídico.

1.5 Limitación — pausar el tratamiento sin eliminar

Puedes pedirnos que dejemos de tratar datos específicos mientras los mantenemos almacenados. Útil cuando:

Impugnas la exactitud de algo — limitamos el uso hasta haberlo verificado.
El tratamiento es ilícito pero no quieres la supresión (por ejemplo, quieres conservar los datos para una reclamación legal).
Ya no necesitas los datos pero quieres que los conservemos para una reclamación legal tuya.
Te has opuesto al tratamiento y todavía lo estamos evaluando.

Cómo se ve la limitación en Gila: los datos se marcan en nuestra base de datos; los sistemas posteriores (funciones de IA, analítica, disparadores de correo, notificaciones push) omiten los registros marcados; los datos siguen siendo visibles para ti en la app para revisión y exportación.

1.6 Oposición — pedirnos que detengamos un uso específico de tus datos

Puedes oponerte a:

Que las funciones de IA traten tus datos de salud — desactivaremos el consentimiento de funciones de IA y las funciones de IA dejarán de estar disponibles para ti. Tus datos de diario subyacentes permanecen, salvo que también solicites la supresión.
Correos de marketing y el boletín — baja instantánea con un clic en cualquier correo. O escríbenos. Seguirás recibiendo correos transaccionales (verificación de cuenta, confirmación de eliminación, alertas de seguridad).
Celebraciones de hitos o recordatorios de onboarding — interruptores granulares en Ajustes.
Analítica y seguimiento de errores — opta por no participar en la analítica opcional en el centro de preferencias de cookies del sitio web y en Ajustes → Privacidad dentro de la app.
Cualquier tratamiento basado en interés legítimo (por ejemplo, el seguimiento de errores vía Sentry). Cuando te opones, dejamos de hacerlo salvo que podamos demostrar que tenemos motivos legítimos imperiosos que prevalecen sobre tus intereses, derechos y libertades — e incluso entonces te explicaremos nuestro razonamiento.

1.7 Retirar el consentimiento

Siempre que nos apoyemos en tu consentimiento como base jurídica (especialmente para el tratamiento de tus datos de salud y para las funciones de IA), puedes retirar el consentimiento en cualquier momento. La retirada:

Surte efecto de forma prospectiva. El tratamiento pasado bajo el consentimiento válido anterior sigue siendo lícito.
Es tan sencilla como dar el consentimiento en primer lugar — un interruptor en Ajustes o un enlace de correo de un solo clic.
Activa la eliminación de los datos que estábamos conservando bajo ese consentimiento específico si no hay otra base jurídica para conservarlos.

Registramos cada otorgamiento de consentimiento y cada retirada en consent_log para que tú y nosotros podamos ver el historial.

2. Derechos específicos por región

Muchas jurisdicciones añaden sus propios matices sobre los derechos globales anteriores. Aplicamos la regla más protectora para cada usuario. Menciones seleccionadas:

Residentes de California — derechos de la CCPA/CPRA, incluido un derecho a saber, un derecho a eliminar, un derecho a corregir, un derecho a optar por no participar en la "venta" o la "compartición" (no hacemos ninguna de las dos, pero respetamos la señal), un derecho contra la discriminación por ejercer tus derechos, y un derecho a limitar el uso de información personal sensible. Consulta /privacy/california.
Residentes de Washington — conforme a la MHMDA (RCW 19.373), derechos específicos sobre los "datos de salud del consumidor", incluida una autorización independiente para cualquier compartición. Consulta /privacy/washington y el Aviso de Datos de Salud.
Residentes de Colorado, Connecticut, Virginia, Texas, Oregón, Montana, Iowa, Tennessee, Minnesota, Delaware, Nueva Jersey, New Hampshire, Maryland, Indiana, Kentucky — derechos estatales comparables de acceso, eliminación, corrección, portabilidad y exclusión. Escribe a dpo@gila.coach mencionando tu estado y responderemos conforme al marco de derechos de tu estado.
Residentes de la UE/EEE — derechos completos del RGPD y el derecho a presentar una reclamación ante tu autoridad de control local (consulta la sección 7 más abajo).
Residentes del Reino Unido — derechos completos del UK GDPR / DPA 2018 y el derecho a reclamar ante la Information Commissioner's Office (ICO).
Residentes de Suiza — derechos completos de la revFADP y el derecho a reclamar ante el Encargado Federal de Protección de Datos e Información (FDPIC).
Residentes turcos — derechos completos de la KVKK y el derecho a reclamar ante el Kişisel Verileri Koruma Kurumu (Consejo de la KVKK). Consulta /privacy/turkey.
Residentes brasileños — derechos completos de la LGPD y el derecho a reclamar ante la Autoridade Nacional de Proteção de Dados (ANPD).
Residentes canadienses — derechos de la PIPEDA y las adiciones de la Ley 25 de Québec para los residentes de Québec.
Residentes australianos — derechos de la Privacy Act 1988 y el derecho a reclamar ante la Office of the Australian Information Commissioner (OAIC).

Busca la página de tu jurisdicción en el índice de /privacy para el procedimiento local exacto.

3. Cómo enviarnos una solicitud

Hay dos canales. Ambos son igualmente válidos.

3.1 El formulario web (preferido)

Ve a gila.coach/dsar.

El formulario solicita:

La dirección de correo de tu cuenta.
Qué derecho quieres ejercer (puedes elegir uno o varios).
Una descripción opcional de texto libre si quieres añadir detalle.
Una comprobación antibots de Cloudflare Turnstile (porque el formulario es público).

Al enviarlo, recibirás un correo en la dirección que introdujiste con un enlace de verificación. Haz clic en el enlace desde la cuenta de correo en cuestión — así confirmamos que la solicitud realmente viene de ti. El enlace caduca en una hora.

Una vez que haces clic en el enlace, la solicitud entra en nuestra cola y recibirás un segundo correo confirmando su recepción.

3.2 Correo electrónico

Escribe a dpo@gila.coach desde la dirección de correo de tu cuenta. Dinos qué quieres. Si escribes desde un correo diferente, podemos pedirte el enlace de verificación descrito arriba antes de actuar.

Si eres un agente autorizado (por ejemplo, un abogado que actúa en nombre de un residente de California bajo la CCPA), incluye prueba de tu autoridad — una autorización por escrito firmada por el interesado, o un poder notarial. Verificaremos directamente con el interesado antes de actuar.

3.3 Lo que NUNCA te pediremos

Cosas que nunca te pediremos:

Tu contraseña (nunca la necesitamos).
Un escaneo de tu documento de identidad oficial (en el caso más raro de fraude podríamos hacerlo, y te explicaremos primero por qué — pero odiamos hacer esto y lo evitamos).
Un pago por cualquiera de estas solicitudes (consulta la sección 5).

4. Qué haremos, y con qué rapidez

4.1 Acuse de recibo — en un plazo de 72 horas

Te enviaremos un correo en un plazo de 72 horas desde que recibamos tu solicitud verificada, confirmando que la tenemos y contándote los siguientes pasos. Si necesitamos algo más de ti para actuar sobre la solicitud, te lo pediremos en este primer correo.

4.2 Respuesta — normalmente en un plazo de 7 días, nunca más de 30

La mayoría de las solicitudes de acceso se resuelven en un plazo de 7 días; las solicitudes complejas pueden tardar hasta 30 días, con prórrogas en casos limitados.

Responderemos sustancialmente y (para la mayoría de los derechos) completaremos la acción en un plazo de 30 días desde que recibamos la solicitud verificada — y casi siempre mucho más rápido.

Si tu solicitud es compleja (por ejemplo, una solicitud de acceso que abarca años de datos en muchos sistemas, o cuando necesitamos coordinarnos con un encargado del tratamiento para la eliminación en los sistemas de un proveedor), podemos ampliar el plazo de respuesta en 60 días adicionales, hasta un máximo de 90 días desde la solicitud verificada. Si lo ampliamos, te lo diremos dentro de la ventana original de 30 días, te explicaremos por qué, y te daremos una fecha objetivo.

4.3 Entrega

Según el derecho que hayas ejercido:

Acceso o portabilidad — te enviamos un correo con una URL de descarga firmada de un solo uso. La URL es válida durante 24 horas, tras las cuales caduca automáticamente por seguridad. Puedes pedirnos una URL nueva escribiéndonos de nuevo.
Supresión — te enviamos un correo de confirmación una vez que se completa la eliminación en producción (normalmente en un plazo de 24 horas desde que actuamos sobre la solicitud). Las copias de seguridad caducan en un plazo de 30 días. También te diremos qué registros se conservaron (si acaso) y por qué.
Rectificación — te enviamos un correo confirmando la corrección, con el valor anterior/posterior cuando resulte útil.
Limitación — te enviamos un correo confirmando que la marca está en vigor y nombrando el tratamiento afectado.
Oposición — te enviamos un correo confirmando que detendremos el tratamiento al que te opusiste, o explicando (con razones) por qué no podemos.
Retirada del consentimiento — te enviamos un correo de confirmación, y el cambio surte efecto inmediatamente en la app.

5. Tarifas

Las solicitudes DSAR son gratuitas. No te cobraremos ninguna tarifa por ninguno de los derechos anteriores.

La única excepción es la estrecha que permite el artículo 12(5) del RGPD: para solicitudes manifiestamente infundadas o excesivas — por ejemplo, una repetición de muy alto volumen de la misma solicitud después de que ya hayamos respondido — podemos:

Cobrar una tarifa razonable para cubrir el coste administrativo de volver a actuar, O BIEN
Negarnos a actuar sobre la solicitud repetida, explicando nuestro razonamiento.

Nunca hemos cobrado una tarifa y esperamos no tener que hacerlo nunca. Si lo hacemos, te comunicaremos la tarifa propuesta por escrito antes de cobrarla.

6. Cuándo podemos negarnos, en parte o en su totalidad

Te lo comunicaremos por escrito si nos negamos a atender toda o parte de tu solicitud. Las razones más comunes por las que podríamos negarnos:

No podemos verificar tu identidad tras un intento razonable. La verificación por enlace de correo descrita arriba casi siempre resuelve esto. Si no puedes acceder al correo de la cuenta, escríbenos desde un correo que haya correspondido previamente con nosotros sobre la cuenta.
Los datos no son sobre ti. Solo podemos actuar sobre datos que sean sobre ti. Si nos pides los datos de otra persona, te explicaremos que no podemos.
Actuar infringiría los derechos de otra persona. Divulgar una entrada de diario que cita extensamente a un tercero puede requerir una redacción parcial.
La ley nos exige conservar los datos. Los registros fiscales, los registros contables y ciertos registros de auditoría (registros de consentimiento, registros de brechas, registros de prevención de abusos) se conservan según lo exige la ley.
Solicitudes manifiestamente infundadas o excesivas como se describe en la sección 5.
Una reclamación legal, disputa o investigación en curso donde la conservación sea necesaria.

Cuando nos negamos, nosotros:

Identificaremos qué parte específica de la solicitud no vamos a atender.
Explicaremos la razón en lenguaje llano.
Te informaremos de tu derecho a presentar una reclamación ante tu autoridad de control (consulta la sección 7).

7. Si no estás satisfecho con cómo gestionamos tu solicitud

Puedes reclamar. El primer paso es escribirnos a dpo@gila.coach con el asunto "DSAR complaint" — lo revisaremos personalmente e intentaremos resolverlo en un plazo de 14 días.

Si aun así no llegamos a un acuerdo, tienes derecho a presentar una reclamación ante una autoridad de control:

UE/EEE — la autoridad de protección de datos de tu país de residencia (en España, la Agencia Española de Protección de Datos / AEPD; en Alemania, la autoridad de protección de datos de tu Land o el BfDI; en Francia, la CNIL; en Irlanda, la DPC; etc.). Hay un directorio en edpb.europa.eu/about-edpb/about-edpb/members_en.
Reino Unido — la Information Commissioner's Office en ico.org.uk/concerns.
Suiza — el Encargado Federal de Protección de Datos e Información (FDPIC) en edoeb.admin.ch.
Türkiye — el Kişisel Verileri Koruma Kurumu (Consejo de la KVKK) en kvkk.gov.tr.
Brasil — la Autoridade Nacional de Proteção de Dados (ANPD) en gov.br/anpd.
Canadá — la Office of the Privacy Commissioner en priv.gc.ca.
Australia — la Office of the Australian Information Commissioner (OAIC) en oaic.gov.au.
Estados Unidos — la oficina de la Fiscalía General de tu estado (Fiscalía General de California, Fiscalía General de Washington, etc.). En Washington, la MHMDA también te otorga un derecho de acción privado para demandarnos directamente.

También puedes acudir directamente a la autoridad de control sin contactarnos primero. Preferiríamos tener la oportunidad de solucionar el problema primero, pero es tu decisión.

8. ¿Necesitas ayuda?

Si algo en esta página no está claro, escribe a dpo@gila.coach. Una persona real (Sezen, que también es nuestra DPO) lee cada correo enviado a esa dirección y responderá.

Nunca recibirás un peor servicio por pedirnos que eliminemos, limitemos o corrijamos algo. Sin respuestas más lentas, sin funciones ocultas, sin precios diferentes. Pedir es lo mismo que no pedir. Lo decimos en serio.

Este documento es la fuente maestra en inglés. Las traducciones al español (es) y al turco (tr) viven en la misma carpeta docs/privacy/source/ y se mantienen sincronizadas con esta versión. Si una traducción difiere de esta fuente en inglés, prevalece la versión en inglés, salvo que la ley local exija lo contrario.

Última revisión: 2026-05-16.

Enviar una solicitud de privacidad