Aviso de Datos de Salud (Health Data Notice)

Esta es una traducción de cortesía. La versión vinculante es la inglesa; en caso de discrepancia, prevalece la versión en inglés.

Este es un aviso específico sobre cómo Gila gestiona tus datos de salud. Es un "anexo" a la Política de Privacidad principal — la mayoría de las reglas y tus derechos son los mismos, pero los datos de salud activan requisitos más estrictos bajo varias leyes y queremos ser claros al respecto en un solo lugar.

Si alguna frase de aquí entra en conflicto con la Política de Privacidad principal, este Aviso de Datos de Salud prevalece para el tema específico de los datos de salud.

---

1. Por qué existe este aviso

Los datos de salud son datos de "categoría especial" bajo la mayoría de las leyes de privacidad modernas. Eso significa que se someten a un estándar más alto:

• Usuarios de la UE y el EEE — artículo 9 del RGPD. El tratamiento de datos de salud está prohibido salvo que se cumpla una de diez condiciones específicas. Nos apoyamos en el artículo 9(2)(a), tu consentimiento explícito.
• Usuarios del Reino Unido — UK GDPR artículo 9 más el Anexo 1 de la Data Protection Act 2018. Misma vía de consentimiento explícito.
• Usuarios de Suiza — artículo 5(c) de la Ley Federal de Protección de Datos revisada (revFADP). Los datos de salud son "datos personales sensibles" y activan obligaciones reforzadas.
• Usuarios turcos — artículo 6 de la Ley de Protección de Datos Personales (KVKK, Ley N.º 6698). Los datos de salud son "datos personales de categoría especial" (özel nitelikli kişisel veri). La regla por defecto es que debemos obtener tu consentimiento explícito (açık rıza) para cada finalidad de tratamiento distinta, porque no somos un profesional o institución sanitaria actuando bajo la ley de salud turca.
• Usuarios brasileños — artículo 11 de la LGPD (Ley 13.709/2018). Misma familia: datos sensibles, consentimiento explícito, más un conjunto paralelo de condiciones.
• Usuarios del estado de Washington (EE. UU.) — la My Health My Data Act (RCW 19.373), que clasifica los datos de calorías, los datos de peso, la ingesta de alimentos, el estado de ánimo, la medicación y campos similares como "datos de salud del consumidor". Otorga un derecho de acción privado para demandar si no cumplimos. Obtenemos un consentimiento explícito independiente y nunca vendemos ni compartimos estos datos.

Como operamos globalmente, aplicamos por defecto la regla más protectora. La puerta de consentimiento explícito aparece para cada usuario, sin importar dónde viva (registro de decisiones, entrada #6).

---

2. Qué datos de salud recopila Gila

Aquí está la lista completa. Intentamos ser precisos en lugar de vagos.

2.1 Medidas corporales

• Peso corporal (weight_kg) — registrado manualmente y/o sincronizado desde Apple Health / Health Connect.
• Medidas corporales — pecho, cintura, caderas, brazos, piernas (opcional, solo si las registras).
• Peso inicial y peso objetivo capturados durante el onboarding.

2.2 Medicación (específica de GLP-1)

• Nombre del medicamento (Wegovy, Ozempic, Mounjaro, Zepbound, Saxenda, Rybelsus, etc.).
• Dosis en miligramos.
• Cadencia de inyección (semanal, mensual, etc.) y la fecha y hora de cada inyección.
• Zona de inyección (sitio anatómico que usaste: abdomen izquierdo/derecho, muslo, brazo superior, etc.).
• Nivel de dolor en el punto de inyección (autoinforme de 0 a 10).
• Notas de texto libre que decidas adjuntar a una inyección.

Esta combinación — medicación + dosis + cadencia + zona de inyección — es esencialmente un registro de prescripción. La tratamos como la categoría individual de datos más sensible que manejamos.

2.3 Efectos secundarios

• Descripción del efecto secundario autodeclarada.
• Calificación de gravedad.
• Fecha y hora.
• Notas de texto libre.

2.4 Estado de ánimo y estado mental

• Etiqueta de ánimo y emoji elegidos de una paleta.
• Categoría de ánimo (por ejemplo, poca energía, ansioso, motivado, satisfecho).
• Descripción de texto libre sobre cómo te sientes y por qué.
• Fecha y hora.
• Los datos de estado mental caen dentro de la definición de datos de salud del Considerando 35 del RGPD, así que se aplican las mismas reglas.

2.5 Ingesta de alimentos

• Sesiones de comida — las calorías, proteínas, carbohidratos, grasas, fibra, azúcar y sodio de cada comida que registras, más el tipo de comida (desayuno, almuerzo, cena, tentempié) y la fecha.
• Alimentos favoritos — comidas guardadas con sus macros por porción.
• Historial de búsqueda de alimentos — las consultas de texto que escribiste al buscar en las bases de datos de alimentos.
• Fotos de comidas cuando usas la función de visión de alimentos con IA. La foto en sí puede mostrar incidentalmente tu rostro o tu entorno.
• Objetivos nutricionales — tus calorías objetivo, macros, ingesta de agua y ritmo.

El seguimiento de calorías, el seguimiento de peso y la ingesta de alimentos se nombran explícitamente como "datos de salud del consumidor" bajo la MHMDA de Washington. Los tratamos como tales para todos los usuarios.

2.6 Sincronización con Apple Health y Android Health Connect (opcional)

Cuando la activas, leemos lo siguiente del almacén de salud de tu teléfono y escribimos un agregado diario en nuestra base de datos:

• Pasos, minutos activos, calorías consumidas / gastadas.
• Duración y calidad del sueño, cuando esté disponible.
• Métricas resumidas de frecuencia cardiaca.
• Minutos de ejercicio y tipos de entrenamiento.
• Registros de peso.

Nunca escribimos datos de vuelta a Apple Health o Health Connect sin tu activación explícita. El aviso de permiso a nivel de sistema operativo ocurre de forma independiente a nuestro consentimiento dentro de la app.

2.7 Entradas del diario (texto libre)

Las reflexiones de texto libre se almacenan tal como las escribes. Técnicamente son campos de texto, pero a menudo contienen contenido relacionado con la salud (estado de ánimo, síntomas, pensamientos dietéticos, contenido sobre la imagen corporal). Tratamos todo el diario como sensible en materia de salud, aunque nuestra base de datos no aplique esa clasificación a nivel de columna.

2.8 Foto de perfil y fotos de evidencia de hábitos

Las fotos que subes pueden revelar atributos físicos (forma corporal, aspecto de la piel, dispositivos médicos visibles). Se almacenan cifradas, se accede a ellas mediante URLs firmadas de corta duración, y se eliminan cuando borras una entrada o tu cuenta.

2.9 Inferencias derivadas de IA

Resultados que generamos sobre ti a partir de tus datos usando IA — por ejemplo, tu narrativa semanal de coaching, las recomendaciones de objetivos de actividad, las sugerencias de hábitos ajustadas a la medicación que has declarado, y el tipo de perfil (persona) asignado durante el onboarding. Son inferencias y las tratamos como datos de salud por las mismas razones por las que tus entradas lo son.

---

3. Divulgación MHMDA de Washington — "datos de salud del consumidor"

Para usuarios en o relacionados con el estado de Washington (EE. UU.), hacemos las siguientes divulgaciones explícitas conforme a la RCW 19.373:

• Sí, Gila recopila y trata datos de salud del consumidor según los define la MHMDA. Eso incluye tu peso, tus medidas corporales, tu ingesta de alimentos (calorías y macros), tus entradas de ánimo, tus datos de medicación, tus datos de efectos secundarios, y los datos de sincronización con Apple Health / Health Connect.
• Obtenemos tu consentimiento explícito durante el onboarding, a través de la Puerta de Consentimiento Legal dentro de la app. El recibo de consentimiento se almacena en nuestra tabla consent_log con la versión de la política, la fecha, las categorías de consentimiento que aceptaste y, cuando se conoce, tu jurisdicción.
• NO vendemos datos de salud del consumidor. Nunca. No hay excepción, ni exclusión, ni ninguna vía alternativa de "venta anonimizada".
• NO compartimos datos de salud del consumidor con terceros para sus propios fines. Los encargados del tratamiento listados en la sección 6 actúan solo siguiendo nuestras instrucciones, sobre tus datos, para nuestro servicio. No tienen permitido usar tus datos para hacerte publicidad, construir perfiles sobre ti, ni venderlos a terceros.
• Puedes retirar tu consentimiento en cualquier momento dentro de la app (Ajustes → Privacidad → Consentimiento de Datos de Salud) o enviando una solicitud en gila.coach/dsar. La retirada no afecta al tratamiento que ya haya ocurrido.
• Puedes pedirnos que eliminemos tus datos de salud del consumidor en cualquier momento a través de los mismos canales. La eliminación se describe en la sección 8 más abajo.
• Tienes un derecho de acción privado conforme a la MHMDA. Si no cumplimos con nuestras obligaciones hacia ti conforme a esa ley, puedes demandarnos directamente conforme a la Washington Consumer Protection Act (RCW 19.86). Esperamos que nunca lo necesites — escribe primero a dpo@gila.coach e intentaremos solucionarlo.

---

4. Cómo usamos tus datos de salud

Los usamos solo para los fines que esperarías de una app de acompañamiento para el cambio de conducta:

4.1 Mostrarte tus propios datos

Mostramos tu tendencia de peso, tus patrones de ánimo, tu adherencia a la medicación, tus registros de alimentación y tu historial de hábitos. Este es el servicio principal al que te suscribiste.

4.2 Generar información personalizada

Calculamos tendencias, rachas, porcentajes e indicaciones contextuales basadas en tus datos. Parte de esto ocurre en tu dispositivo; parte ocurre en el servidor después de que hayas aceptado el consentimiento correspondiente.

4.3 Impulsar funciones de IA (solo si has dado tu consentimiento)

Cuando has activado explícitamente las funciones de IA, tus datos de salud se incluyen en la instantánea contextual enviada a nuestros proveedores de IA para la función específica que activaste. Consulta la sección 5 para el desglose detallado.

4.4 Sincronizar con Apple Health / Health Connect

Si has activado la sincronización, leemos campos seleccionados del almacén de salud de tu teléfono de forma periódica. Puedes desactivarlo en cualquier momento en los ajustes de iOS, los ajustes de Android, o en los ajustes dentro de la app.

4.5 Calcular agregados para funciones del lado del servidor

Calculamos agregados diarios resumidos (health_daily_summaries) que leen las funciones posteriores — tu narrativa semanal, el pipeline de señales de hábitos, tu recomendación de objetivo de actividad. Calcular el agregado no cambia la base jurídica: sigue siendo tu dato de salud, sigue estando bajo tu consentimiento explícito.

4.6 Lo que nunca hacemos con tus datos de salud

• Nunca los vendemos a nadie.
• Nunca los compartimos con anunciantes ni para publicidad dirigida.
• Nunca los usamos para entrenar modelos de IA de terceros — nuestros contratos con Google Gemini y Perplexity lo prohíben y verificamos el indicador de no entrenamiento en cada llamada a la API.
• Nunca los usamos para derivar una puntuación que restrinja tu acceso a funciones, contenido o cualquier otro beneficio. La IA en Gila te muestra sugerencias que puedes aceptar, editar o ignorar — nunca toma "decisiones automatizadas" en el sentido del artículo 22 del RGPD (consulta la sección 9 más abajo).
• Nunca los combinamos con datos de intermediarios de datos (data brokers), plataformas de redes sociales, ni ningún grafo de identidad de terceros.

---

5. Tratamiento de tus datos de salud por IA

Si has activado el consentimiento de funciones de IA, tus datos de salud son tratados por proveedores de IA externos. Somos explícitos sobre qué funciones, qué proveedores y qué campos por función.

5.1 Desglose por función

También usamos Anthropic Claude (Sonnet) internamente para nuestro pipeline de evaluación de calidad (eval-score). Esto no es visible para el usuario en producción; puntúa pares de prueba anonimizados para validar la calidad de la IA antes de que se publiquen los cambios.

5.2 Compromisos contractuales de no entrenamiento de nuestros proveedores de IA

• Google Gemini — cubierto por los términos de servicio de la API de Google Generative AI. Los datos de clientes enviados a la API no se usan para entrenar los modelos de Google. Activamos el indicador de no entrenamiento en cada solicitud y lo verificamos en los metadatos de la respuesta.
• Anthropic Claude — cubierto por los Términos Comerciales de Anthropic. Los datos de clientes enviados vía API no se usan para entrenar los modelos de Anthropic. Anthropic está certificada bajo el Marco de Privacidad de Datos UE-EE. UU.
• OpenAI — cubierto por los Términos Empresariales de OpenAI. Los datos de clientes enviados vía API no se usan para entrenar los modelos de OpenAI por defecto. OpenAI se usa únicamente como vía A/B opcional en la visión de alimentos y está desactivada por defecto.
• Perplexity — cubierto por los términos de la API de Perplexity. Los datos de clientes enviados vía API no se usan para entrenar los modelos de Perplexity. Solo enviamos consultas temáticas anonimizadas (por ejemplo, un nombre de alimento, un tema de hábito). Tus datos personales no se envían a Perplexity en absoluto.

Si algún proveedor cambia sus términos para revertir el valor predeterminado de no entrenamiento, reevaluaremos este aviso y te pediremos que vuelvas a dar tu consentimiento antes de que el cambio entre en vigor. Tu consentimiento explícito de la MHMDA de Washington y tu consentimiento explícito del artículo 9(2)(a) del RGPD son agnósticos del proveedor — un único interruptor de consentimiento de funciones de IA cubre a los cuatro proveedores, así que la misma base de consentimiento se aplica sea que el tratamiento de IA se enrute a través de Gemini, Claude, OpenAI o Perplexity.

5.3 Transparencia conforme al artículo 50 de la Ley de IA de la UE

Conforme a la Ley de IA de la UE (Reglamento 2024/1689), artículo 50, tienes derecho a que se te informe cuando estás interactuando con un sistema de IA. Toda superficie generada por IA en Gila lleva la etiqueta "Generado por IA" con el nombre del proveedor en el panel de información dentro de la app. No hay comportamiento encubierto de IA en el producto.

5.4 Artículo 22 del RGPD — sin decisiones "exclusivamente automatizadas"

El artículo 22 del RGPD te protege de ser "objeto de una decisión basada únicamente en el tratamiento automatizado… que produzca efectos jurídicos [para ti] o te afecte significativamente de modo similar." Hemos analizado cada función de IA en Gila frente a esta regla. Ninguna de ellas cumple los requisitos:

• Una estimación calórica de alimentos informa tu registro; tú decides si aceptarla o editarla. Sin efecto jurídico.
• Una sugerencia de hábito es una recomendación, no una obligación. Sin efecto jurídico.
• Una narrativa semanal es una historia informativa. Sin efecto jurídico.
• Ninguna función de IA de Gila restringe el acceso a un servicio, deniega un derecho, impone un contrato, o te asigna a un nivel diferente en función de una puntuación.

El análisis completo está en nuestra Evaluación de Impacto relativa a la Protección de Datos interna (disponible bajo solicitud en dpo@gila.coach). Si alguna vez lanzamos una función en la que la IA sí tome una decisión automatizada significativa sobre ti, añadiremos las salvaguardas del artículo 22 (un derecho a la intervención humana, un derecho a expresar tu punto de vista, un derecho a impugnar) y te pediremos que vuelvas a dar tu consentimiento.

---

6. Con quién compartimos tus datos de salud

La versión corta: con nadie fuera de nuestra lista de encargados del tratamiento, y nunca para sus propios fines.

La versión larga: usamos un conjunto reducido de proveedores ("encargados del tratamiento" bajo el RGPD) para operar el servicio. Actúan siguiendo nuestras instrucciones por escrito, únicamente sobre los datos que les entregamos, únicamente para los fines que establecemos.

6.1 Los encargados del tratamiento que acceden a datos de salud

No enviamos datos de salud a:

• Sentry (seguimiento de errores) — según nuestras directrices de ingeniería, ningún dato de salud de Nivel 1 se incluye en eventos de error. Si se descubre una fuga, la tratamos como un incidente de privacidad conforme a nuestro compromiso de notificación en 72 horas.
• PostHog (analítica) — solo nombres de eventos y de pantallas, nunca valores como el peso o el recuento de calorías. Se aplica el mismo compromiso de tratamiento de incidentes.
• Resend (correo electrónico) — los datos de salud no aparecen en asuntos ni cuerpos de correo.
• Cloudflare Turnstile — solo el token del desafío antibots.
• RevenueCat (cuando se lancen las suscripciones) — solo el estado de la suscripción.

6.2 Transferencias internacionales

Como nuestros encargados del tratamiento están en EE. UU. (y con puntos de red globales), tus datos de salud se transfieren fuera de tu país de residencia. Usamos los siguientes mecanismos jurídicos:

• UE/EEE, Reino Unido, Suiza → EE. UU. — Cláusulas Contractuales Tipo (SCC Módulo 2, responsable → encargado del tratamiento) con medidas suplementarias (TLS 1.3 en tránsito, AES-256 en reposo, seguridad a nivel de fila, compromisos de los proveedores). Para proveedores certificados en el DPF (Google, Anthropic, etc.) el Marco de Privacidad de Datos UE-EE. UU. es la base principal, con las SCC como respaldo. OpenAI solo se usa a través de la vía A/B opcional de visión de alimentos (desactivada por defecto en producción) y está cubierta por el mismo marco de SCC.
• Türkiye → EE. UU. — conforme al artículo 9 de la KVKK, EE. UU. no figura en la lista de "países adecuados" del Consejo. Nos apoyamos en tu consentimiento explícito para la transferencia internacional, otorgado a través de la Puerta de Consentimiento Legal dentro de la app.
• Brasil → EE. UU. — consentimiento específico del artículo 33 de la LGPD.
• Canadá → EE. UU. — transferencia de responsabilidad conforme a la PIPEDA (seguimos siendo responsables).
• Australia → EE. UU. — divulgación transfronteriza conforme al APP 8.

El detalle completo de cada corredor y las medidas suplementarias que aplicamos está en nuestra Evaluación de Impacto de la Transferencia interna (disponible bajo solicitud en dpo@gila.coach).

---

7. Tus derechos específicos respecto a los datos de salud

Se aplican los derechos DSAR estándar — consulta las Instrucciones DSAR para la mecánica completa. Algunas menciones específicas:

7.1 Retirar tu consentimiento de datos de salud

Puedes retirar tu consentimiento explícito del artículo 9(2)(a) en cualquier momento. Visita nuestro formulario de derechos de autoservicio o escribe a dpo@gila.coach para retirar cualquier consentimiento. Ejecutamos la retirada en cuanto llega la solicitud verificada y normalmente la completamos en 24 horas. Retirar tu consentimiento:

• Desactiva cada función que dependa del tratamiento de datos de salud (la mayor parte de la app).
• Activa la eliminación de los datos de salud que especifiques en el flujo de retirada (eliges: "eliminar todo", "eliminar categorías específicas", o "conservar pero dejar de tratar").
• No invalida el tratamiento lícito que ocurrió antes de la retirada.
• Queda registrado en consent_log para que tú y nosotros podamos ver el historial.

7.2 Retirar tu consentimiento de funciones de IA (independiente del consentimiento de datos de salud)

Puedes mantener activo el diario de datos de salud mientras desactivas las funciones de IA. Visita nuestro formulario de derechos de autoservicio o escribe a dpo@gila.coach para retirar el consentimiento de funciones de IA. Cuando las funciones de IA están desactivadas:

• Dejamos de enviar tu contexto de salud a Google Gemini y Perplexity.
• Las superficies de IA (visión de alimentos, narrativa semanal, sugerencias de hábitos, etc.) dejan de estar disponibles en la app.
• Tus datos registrados subyacentes permanecen como los dejaste.

7.3 Exportar tus datos de salud

Una exportación completa, incluyendo todas las categorías de salud y cualquier inferencia derivada de IA que hayamos almacenado sobre ti, está disponible en gila.coach/dsar. La entregamos como JSON estructurado con un resumen en lenguaje llano.

7.4 Restringir un tratamiento específico

Puedes pedirnos que conservemos tus datos pero dejemos de usarlos para un fin específico — por ejemplo, "deja de incluir mis entradas del diario en la narrativa semanal pero consérvalas almacenadas." Visita nuestro formulario de derechos de autoservicio o escribe a dpo@gila.coach e indícanos qué restringir.

7.5 Oponerte a inferencias derivadas de IA

Si generamos una inferencia sobre ti con la que no estás de acuerdo (por ejemplo, una asignación de tipo de perfil del onboarding que no te parece correcta), puedes pedirnos que la eliminemos o la corrijamos. Las inferencias son campos de primera clase en tu exportación de datos.

---

8. Cuánto tiempo conservamos tus datos de salud, y qué ocurre cuando eliminas tu cuenta

8.1 Mientras tu cuenta esté activa

Los datos de salud se conservan indefinidamente mientras tu cuenta esté activa. Puedes editar, eliminar o anotar cualquier entrada individual en cualquier momento.

8.2 Cuando eliminas tu cuenta

• Base de datos principal — todas las tablas de datos de salud (registros de peso, inyecciones de medicación, efectos secundarios, entradas de ánimo, sesiones de comida, historial de búsqueda de alimentos, objetivos nutricionales, registros de hábitos, evidencia de hábitos, entradas del diario, inferencias derivadas de IA, resúmenes diarios de salud) se purgan en un plazo de 24 horas desde la solicitud de eliminación verificada.
• Bucket de almacenamiento — tu foto de perfil, fotos de progreso y fotos de evidencia de hábitos se purgan en la misma ventana mediante los disparadores de limpieza de la Fase 4c.
• Apple HealthKit / Health Connect — estos almacenes están en tu dispositivo. Eliminar tu cuenta de Gila no elimina los datos del almacén de salud de tu teléfono. Para eliminarlos, usa iOS Ajustes → Salud → Explorar → [tipo de dato] → Editar, o Android Ajustes → Apps → Health Connect.
• Copias de seguridad — las instantáneas de copia de seguridad cifradas anteriores a la eliminación caducan en un plazo de 30 días conforme a nuestra rotación normal. Durante esta ventana, restaurar desde una copia de seguridad no recrearía tu cuenta (el indicador de eliminación volvería a activarse), pero los bytes de la copia de seguridad en bruto siguen existiendo.
• Registros y evidencia de auditoría — los recibos de consentimiento (consent_log) se conservan como evidencia de auditoría con tu user_id puesto a NULL, de modo que ya no pueden identificarte. Esto es necesario para la rendición de cuentas conforme al artículo 5(2) del RGPD y al artículo 12 de la KVKK.

Te enviamos un correo de confirmación de eliminación cuando se completa la eliminación en producción, con un resumen de qué se eliminó y qué (si acaso) se conservó por motivos legales.

8.3 Eliminación por entrada

Sin eliminar toda tu cuenta, puedes eliminar cualquier entrada individual desde la pantalla correspondiente dentro de la app. La eliminación por entrada sigue la misma ventana de 24 horas para la base principal / 30 días para las copias de seguridad.

---

9. Nota sobre salud mental y vulnerabilidad

Muchas personas que usan Gila están lidiando con una enfermedad crónica, un historial de trastornos alimentarios, vulnerabilidad respecto a la imagen corporal, o tratamiento de salud mental. Hemos diseñado varios aspectos de este aviso y del propio producto teniendo esto en cuenta:

• Los resultados de IA evitan un enfoque que avergüence por el peso. Nuestros prompts del sistema indican explícitamente al modelo que sea empático y que nunca comente sobre el aspecto físico.
• Las celebraciones de hitos son opcionales, con interruptores independientes en Ajustes.
• El texto de las notificaciones push es intencionalmente discreto (por ejemplo, "Hora de un check-in" en lugar de "Hora de tu inyección de Wegovy"), de modo que una notificación en un teléfono bloqueado no revele contenido de medicación a nadie que mire de reojo la pantalla.
• Las entradas de ánimo y de diario se almacenan solo en nuestros servidores bajo tu cuenta; nunca se usan en correos de marketing, prueba social ni contenido público agregado.

Si estás en una crisis de salud mental, Gila no es la herramienta adecuada. Por favor, contacta con una persona real:

• En la UE/EEE y Türkiye, llama al 112 para cualquier emergencia.
• En el Reino Unido, llama al 999 (emergencia) o al 111 (NHS).
• En EE. UU., llama o envía un mensaje de texto al 988 (Línea de Prevención del Suicidio y Crisis) o al 911 (emergencia).
• En Türkiye, la línea de ayuda del Ministerio de Salud es el 184.
• En España, la línea de prevención del suicidio es el 024.
• En otros países, usa el equivalente local.

---

10. Hablar con nosotros sobre datos de salud

Para preguntas o inquietudes específicas sobre datos de salud:

• Correo electrónico: dpo@gila.coach — una persona real lee cada mensaje enviado a esta dirección.
• Formulario DSAR: gila.coach/dsar para cualquiera de los derechos descritos en la sección 7.
• Correo postal: la dirección registrada ante la autoridad fiscal turca, facilitada bajo solicitud.
• Representantes en la UE y el Reino Unido: a nombrar antes del lanzamiento de pago en la UE/Reino Unido — consulta la Política de Privacidad para el nombre y la dirección publicados (el registro de decisiones, entrada #3, hace seguimiento de la contratación).

10.1 Autoridades de control ante las que puedes reclamar

Si no podemos resolver tu inquietud directamente, puedes presentar una reclamación ante la autoridad de protección de datos de tu país. Consulta la sección 7 de las Instrucciones DSAR para el directorio.

Para residentes del estado de Washington en particular, puedes reclamar ante la Fiscalía General del Estado de Washington y tienes un derecho de acción privado conforme a la MHMDA + la Washington CPA.

---

11. Cambios en este aviso

Actualizaremos este aviso cuando añadamos nuevas funciones de datos de salud, cambiemos de proveedores de IA, cambiemos de encargados del tratamiento que accedan a datos de salud, o para reflejar nueva legislación.

Para cambios materiales (cualquier cosa que cambie qué datos de salud recopilamos, a quién se los enviamos, para qué fines los usamos, o tus derechos sobre ellos):

• Te daremos al menos 30 días de aviso antes de que la nueva versión entre en vigor.
• Mostraremos un banner dentro de la app (LegalChangeBanner) y enviaremos un correo a la dirección de tu cuenta.
• Para cambios que introduzcan una nueva finalidad de tratamiento o un nuevo encargado del tratamiento para tus datos de salud, te pediremos que vuelvas a dar tu consentimiento antes de que comience ese tratamiento específico.

Para cambios no materiales (corrección de erratas, actualización de enlaces, texto más claro), simplemente actualizaremos la versión y la fecha al principio.

---

12. Referencias internas útiles

Por transparencia, aquí están los documentos internos con los que este aviso es coherente. No son públicos, pero se facilitan bajo solicitud a las autoridades de control en dpo@gila.coach:

• Registro de Actividades de Tratamiento — el registro del artículo 30 del RGPD que enumera cada actividad de tratamiento, incluidas las siete actividades de datos de salud y las bases jurídicas por actividad.
• Evaluación de Impacto relativa a la Protección de Datos — la EIPD del artículo 35 que cubre el tratamiento de datos de salud + IA, con un registro de 17 riesgos y las mitigaciones previstas.
• Evaluación de Impacto de la Transferencia — la evaluación de cumplimiento Schrems II para cada encargado del tratamiento residente en EE. UU.
• Inventario de Datos — el catálogo campo por campo de cada dato personal que recopila Gila.
• Registro de Decisiones — las decisiones de producto y legales cerradas que dan forma a este aviso.

---

La fuente maestra de este documento es la versión en inglés. Las traducciones al español y al turco se mantienen sincronizadas con esa versión. Si una traducción difiere de esa fuente en inglés, prevalece la versión en inglés, salvo que la ley local exija lo contrario.

Última revisión: 2026-05-16.