Política de Privacidad (Privacy Policy)

Esta es una traducción de cortesía. La versión vinculante es la inglesa; en caso de discrepancia, prevalece la versión en inglés.

Hola. Esta política explica qué hacemos con tus datos — escrita por una persona, no generada por una plantilla legal. Si algo te suena a jerga, es un fallo. Escríbenos a dpo@gila.coach y lo arreglaremos. También la tenemos en inglés (/en/privacy) y turco (/tr/privacy); nos esforzamos por mantenerlas sincronizadas. Si detectas una diferencia, avísanos — confiaremos en la versión que refleje con más exactitud lo que realmente hacemos, y actualizaremos las demás.

---

Resumen rápido

La política completa que sigue es la fuente de verdad. Este resumen está aquí para que decidas si necesitas seguir leyendo.

• Quiénes somos. Gila es una sola persona: Sezen Soykut, autónoma (şahıs şirketi) registrada en Türkiye. Sezen es también la Delegada de Protección de Datos (Data Protection Officer) — escribe a dpo@gila.coach y ella lo lee.
• Dónde viven tus datos. Tu peso, medicación, efectos secundarios, alimentación, estado de ánimo, hábitos y entradas del diario viven en servidores de EE. UU. (Supabase en Ohio) bajo salvaguardas por capas — cifrado, contratos estrictos, controles de acceso a nivel de fila. Los datos que has sincronizado desde Apple Health o Health Connect permanecen en tu teléfono — elimínalos desde los ajustes de iOS o Android si quieres que desaparezcan.
• Lo que nunca hacemos. Tus datos no están a la venta. No mostramos anuncios en Gila, no te compartimos con redes publicitarias ni usamos ningún proveedor de IA que entrene con tus solicitudes (prompts). Las sugerencias de IA puedes aceptarlas, editarlas o ignorarlas — ninguna IA dentro de Gila decide nada sobre ti sin ti.
• Cómo marcharte. Si alguna vez quieres irte, puedes llevarte todo contigo y no dejar nada atrás. Elimina tu cuenta en la app o en /delete-account — tus datos se eliminan de nuestra base de datos en vivo en un plazo de 24 horas y de las copias de seguridad rotativas en un plazo de 30 días.

---

1. Quiénes somos

Gila es una sola persona: Sezen Soykut. Dirige el negocio como autónoma (şahıs şirketi) registrada en la República de Türkiye, operando bajo el nombre comercial "Gila", y es también la Delegada de Protección de Datos (Data Protection Officer, DPO) interna — lo que significa que cuando escribes a dpo@gila.coach con una consulta de privacidad, es Sezen quien la lee. Es un equipo pequeño por diseño. También significa que las decisiones de privacidad no se diluyen entre departamentos; recaen en la misma persona a la que puedes escribir.

Domicilio social registrado Karya Evleri 3/18, Ataşehir Mahallesi, Çiğli, İzmir, Türkiye. Este es nuestro domicilio registrado como autónoma (şahıs şirketi) ante la autoridad fiscal turca. El correo postal y las notificaciones formales de procesos legales pueden enviarse aquí.

Delegada de Protección de Datos (DPO) Sezen Soykut ejerce como Delegada de Protección de Datos interna. Contacto: dpo@gila.coach. La designación de DPO refleja que nuestro tratamiento principal implica datos de salud de forma habitual y sistemática (RGPD, artículo 37).

Representante en la UE (RGPD artículo 27) Estamos en proceso de nombrar un representante conforme al artículo 27 en la UE. Mientras tanto, contacta con nuestra Delegada de Protección de Datos en dpo@gila.coach para cualquier asunto que normalmente se dirigiría a un representante en la UE. Actualizaremos este aviso en cuanto el representante esté designado.

Representante en el Reino Unido (UK GDPR artículo 27) Estamos en proceso de nombrar un representante conforme al artículo 27 en el Reino Unido. Mientras tanto, contacta con nuestra Delegada de Protección de Datos en dpo@gila.coach para cualquier asunto que normalmente se dirigiría a un representante en el Reino Unido. Actualizaremos este aviso en cuanto el representante esté designado.

Türkiye (KVKK) Gila opera desde Türkiye. El Consejo de Protección de Datos Personales (KVKK — Kişisel Verileri Koruma Kurulu) es nuestra autoridad de control principal. Consulta /privacy/turkey para las divulgaciones específicas de la KVKK, incluido cómo se obtiene el consentimiento explícito para transferencias internacionales de los usuarios turcos.

---

2. Qué cubre esta política

Esta Política de Privacidad se aplica a:

• La app móvil de Gila para iOS y Android (identificador de paquete coach.gila).
• El sitio web gila.coach, incluidos el registro al piloto, el centro de aprendizaje, el boletín y las páginas de eliminación de cuenta.
• El boletín de Gila para suscriptores que aún no tienen cuenta.
• Los registros al piloto previos a la creación de cuenta, recogidos a través de la página de aterrizaje de gila.coach.
• La lista de espera de lanzamiento previa a la creación de cuenta, recogida a través del formulario de lista de espera de gila.coach.

No cubre las propias tiendas de App Store o Google Play — Apple y Google las operan de forma independiente — ni cubre los sitios web de terceros a los que enlazamos desde el contenido educativo.

Nuestros Términos del servicio (Terms of Service) son un documento aparte en /terms. Los Términos establecen el contrato entre tú y Gila; esta Política de Privacidad explica qué hacemos con tus datos.

---

3. Qué recopilamos y por qué

Puedes usar gran parte de Gila sin darnos ningún dato opcional. Solo recopilamos lo que necesitamos para la función que estás usando, y te lo indicamos dentro de la app antes de que aparezcan campos sensibles.

La siguiente tabla agrupa los datos por categoría. Cada fila indica qué recopilamos, de dónde procede, para qué lo usamos, nuestra base jurídica conforme al RGPD/UK GDPR y cuánto tiempo lo conservamos. El inventario completo por tabla y nuestros Registros de Actividades de Tratamiento internos se facilitan bajo solicitud a las autoridades de control y a los interesados a través de dpo@gila.coach.

3.1 Datos de identidad y cuenta

3.2 Datos de salud y bienestar (categoría especial — RGPD artículo 9)

Estos datos son sensibles. Los tratamos únicamente con tu consentimiento explícito, recabado durante el proceso de incorporación (onboarding) a través de nuestra puerta de consentimiento dentro de la app, y puedes retirar el consentimiento en cualquier momento.

El seguimiento de calorías y macronutrientes se trata como "datos de salud del consumidor" conforme a la My Health My Data Act del estado de Washington (RCW 19.373); aplicamos el mismo estándar de consentimiento explícito de forma global, para que la experiencia sea la misma estés donde estés.

3.3 Datos conductuales e inferidos

3.4 Datos técnicos y operativos

3.5 Datos comerciales (suscripciones)

Los datos de la tarjeta de pago nunca llegan a Gila. Apple o Google gestionan el pago; nosotros solo recibimos el estado de suscripción resultante.

3.6 Datos de marketing y participación

Tu correo electrónico nunca se expone a otros operadores de boletines, y no vendemos, alquilamos ni compartimos nuestra lista de personas suscritas.

Si aceptas los datos de uso (analítica), registramos qué anuncio nuestro te trajo (el anuncio, su campaña, el enlace que tocaste, la plataforma de tu teléfono y cuándo lo tocaste e instalaste la app; nunca nada sobre tu salud) y, si nos lo dices, cómo conociste Gila. Lo guardamos hasta 24 meses. Se queda en nuestros propios sistemas; no lo compartimos con Meta ni con otras plataformas de publicidad.

---

4. Cómo usamos la IA

Usamos IA para impulsar las siguientes funciones. Lo divulgamos aquí conforme al artículo 50 de la Ley de IA de la UE (para que sepas cuándo estás interactuando con IA) y al artículo 13(2)(f) del RGPD (para que tengas información significativa sobre la lógica aplicada).

4.1 Qué funciones usan IA

4.2 Qué proveedores de IA usamos

Nuestro proveedor principal de IA es Google Gemini (Gemini 2.5 Flash y el modelo de embeddings de Gemini). Impulsa, por defecto, las 12 funciones anteriores.

Para funciones específicas también podemos usar:

• Anthropic Claude (Haiku / Sonnet / Opus) — usado en Habit Lab (función 5) como modelo conversacional y en nuestro proceso interno de evaluación de calidad (eval-score), así como en una vía A/B opcional dentro de la visión de alimentos (función 1). La vía A/B está desactivada por defecto en producción.
• OpenAI — disponible únicamente como vía A/B opcional dentro de la visión de alimentos (función 1). Desactivada por defecto en producción; hemos divulgado previamente a OpenAI como proveedor condicional para que, si alguna vez cambiamos el proveedor por defecto, la divulgación ya esté en vigor.
• Perplexity (sonar-pro) — usado por el agente de señales de hábitos (función 12) para citas de investigación fundamentadas en fuentes, y por la visión de alimentos (función 1) como respaldo de investigación para alimentos ambiguos. Solo se envían consultas temáticas anonimizadas — nunca tu identificador.

Puedes ver el mapeo por función y por proveedor en nuestra Lista de encargados del tratamiento (Subprocessor List).

4.3 Datos enviados por solicitud

Para cada función de IA enviamos solo el contexto mínimo necesario para esa solicitud concreta — nunca tu registro completo. Una solicitud típica incluye una instantánea seleccionada (por ejemplo, tu peso reciente, tu estado de ánimo reciente, tus objetivos actuales) más, en el caso de funciones de visión, la imagen relevante. Identificadores como tu correo electrónico y tu nombre se eliminan antes de que la solicitud salga de nuestros servidores.

4.4 No se usa para entrenar

Ninguno de nuestros proveedores de IA usa tus solicitudes (prompts) o datos para entrenar sus modelos fundacionales:

• Google Gemini — los términos comerciales de la API de Google establecen que los datos de clientes enviados a la API no se usan para mejorar los modelos de Google. Activamos el indicador de "no entrenamiento" en cada solicitud.
• Anthropic Claude — los Términos Comerciales de Anthropic se comprometen a que los datos de clientes enviados vía API no se usan para entrenar modelos.
• OpenAI — los Términos Empresariales de OpenAI (que rigen el uso de la API) se comprometen a que los datos de clientes no se usan para entrenamiento por defecto.
• Perplexity — los términos de la API de Perplexity se comprometen a que los datos enviados vía API no se usan para entrenar los modelos de Perplexity.

Si algún proveedor cambia sus términos para revertir el valor predeterminado de no entrenamiento, reevaluaremos la función afectada, te pediremos que vuelvas a dar tu consentimiento antes de continuar el tratamiento, y actualizaremos este aviso.

4.5 Decisiones automatizadas conforme al artículo 22 del RGPD

El artículo 22 del RGPD se aplica cuando una decisión es exclusivamente automatizada y produce efectos jurídicos o significativos de forma similar. Según nuestra Evaluación de Impacto relativa a la Protección de Datos interna (disponible bajo solicitud en dpo@gila.coach), ninguna función de IA de Gila toma ese tipo de decisiones. Son sugerencias de IA que puedes aceptar, editar o ignorar — tú permaneces en el bucle:

• La visión de alimentos devuelve una estimación calórica; puedes editarla antes de guardarla y decides si actuar sobre ella.
• Las sugerencias de hábitos y objetivos se te presentan — tú las aceptas, las editas o las rechazas.
• Habit Lab es un espacio conversacional; nada en él restringe el acceso ni impone un contrato.
• Ninguna función de IA en Gila afecta a tu acceso al servicio, tu situación de cuenta o ningún derecho externo.

Aun así puedes preguntarnos sobre la lógica de cualquier resultado de IA que te haya afectado, y puedes solicitar una revisión humana escribiendo a dpo@gila.coach.

4.6 Transparencia conforme al artículo 50 de la Ley de IA de la UE

Conforme al artículo 50 de la Ley de IA de la UE, tienes derecho a que se te informe cuando estás interactuando con un sistema de IA. Toda superficie generada por IA en Gila lleva una etiqueta "Generado por IA" con el nombre del proveedor en el panel de información dentro de la app. Habit Lab y la función de "momento de IA" del onboarding muestran esta divulgación de forma destacada cuando la IA está en uso.

4.7 Recuento de calorías y reconocimiento de alimentos: una advertencia honesta

La visión de alimentos es una estimación. El modelo puede confundir platos similares, pasar por alto ingredientes en un plato mixto o calcular mal el tamaño de la porción. El número que te mostramos es informativo — no es consejo médico ni sustituye a un dietista colegiado, a un médico o a un farmacéutico. Lo mismo aplica a todo el contenido de coaching generado por IA en la app: es un estímulo para reflexionar, no una recomendación clínica.

4.8 Qué no hacemos con la IA

• No tomamos decisiones jurídicas, laborales, financieras u otras decisiones significativas sobre ti usando solo IA.
• No permitimos que los proveedores de IA entrenen sus modelos fundacionales con tus solicitudes o datos (según los contratos por proveedor descritos arriba).
• No usamos la IA con fines publicitarios, de perfilado para anuncios, ni para ningún propósito de marketing de terceros.
• No combinamos tus entradas de IA con datos de intermediarios de datos (data brokers) o de plataformas de redes sociales.

4.9 Retirada del consentimiento de IA

Las funciones de IA son opcionales (opt-in). Si retiras el consentimiento de IA, la app sigue funcionando — el seguimiento manual, los gráficos y la línea temporal permanecen — pero las funciones marcadas como "IA" dejan de enviar datos a cualquier proveedor de IA. La retirada es agnóstica del proveedor — una sola decisión cubre a todos los proveedores anteriores. Visita nuestro formulario de derechos de autoservicio o escribe a dpo@gila.coach para retirar el consentimiento.

---

5. A dónde van tus datos

La base de datos principal de Gila y la mayoría de nuestros servicios auxiliares están ubicados en Estados Unidos. Por tanto, todo usuario fuera de EE. UU. genera una transferencia internacional de datos personales.

5.1 Dónde residen los datos

Apple HealthKit (iOS) y Health Connect (Android) mantienen sus datos en tu dispositivo; nosotros solo recibimos el agregado diario que has consentido compartir con Gila.

5.2 Cómo hacemos lícitas esas transferencias

Para usuarios de la UE, el EEE, el Reino Unido y Suiza, nos apoyamos en:

1. Cláusulas Contractuales Tipo (SCC) — el Módulo 2 (responsable → encargado del tratamiento) de 2021 de la Comisión Europea, anexado a cada acuerdo con nuestros encargados del tratamiento.
2. El Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework, DPF), su extensión al Reino Unido y el DPF Suiza-EE. UU. como defensa adicional cuando el proveedor está certificado en el DPF (en particular Google y Cloudflare).
3. Medidas técnicas y organizativas suplementarias — cifrado en tránsito (TLS 1.3) y en reposo (AES-256), seguridad a nivel de fila en cada tabla de Supabase, minimización de datos por solicitud de IA, identificadores analíticos con hash, restricciones contractuales sobre solicitudes de acceso gubernamental, y compromisos de impugnar demandas desproporcionadas. Nuestra Evaluación de Impacto de la Transferencia (Transfer Impact Assessment, fechada el 2026-05-16) está disponible bajo solicitud en dpo@gila.coach.

Para usuarios en Türkiye, no podemos apoyarnos en las SCC ni en el DPF — EE. UU. no figura en la lista de "países adecuados" de Türkiye y no contamos con aprobación del Consejo de la KVKK. En su lugar, nos apoyamos en el consentimiento explícito conforme al artículo 9 de la KVKK, recabado durante el onboarding y registrado en nuestro registro de consentimientos. Sin ese consentimiento no podemos ofrecerte la app, porque los datos deben viajar a EE. UU. para funcionar.

Para usuarios en Brasil, nos apoyamos en el artículo 33 de la LGPD con consentimiento específico. Para Canadá, nos apoyamos en el principio de responsabilidad de la PIPEDA y seguimos siendo responsables de los datos tras la transferencia. Para Australia, cumplimos con el Principio de Privacidad Australiano (APP) 8 sobre divulgación transfronteriza.

5.3 Riesgo residual, con honestidad

La legislación estadounidense (FISA §702, la CLOUD Act, las National Security Letters) permite a las autoridades de EE. UU. obligar a un proveedor con sede en EE. UU. a entregar datos en determinadas circunstancias. No hemos recibido ninguna solicitud de este tipo hasta la fecha. Si alguna vez la recibimos, nos comprometemos a:

• impugnar cualquier solicitud desproporcionada, vaga o excesiva;
• solicitar el levantamiento de cualquier orden de silencio para poder informarte (cuando la ley lo permita);
• notificar a nuestro representante en la UE y a las autoridades de control pertinentes cuando corresponda;
• publicar esta información en nuestra postura anual de transparencia cuando el volumen lo justifique.

No pretendemos que las transferencias a EE. UU. estén libres de riesgo. Hemos evaluado el riesgo, aplicado las medidas suplementarias anteriores y considerado el diseño actual aceptable para nuestra base de usuarios. Si ese cálculo cambia — por ejemplo, si el DPF UE-EE. UU. vuelve a ser invalidado, o si nuestra proporción de usuarios del EEE crece de forma material — trasladaremos nuestra base de datos principal a una región de la UE.

La lista completa de encargados del tratamiento está en /subprocessors y se referencia en la sección 6 más abajo.

---

6. Compartición de datos

Queremos ser concretos sobre lo que no hacemos con tus datos:

• No vendemos tus datos personales. Ni según la definición de la CCPA, ni según la definición de ninguna ley estatal, ni según ninguna definición de sentido común.
• No compartimos tus datos con anunciantes. Sin redes publicitarias. Sin píxeles de retargeting. Sin "audiencias similares" (lookalike audiences). Sin intermediarios de datos (data brokers).
• No usamos tus datos de salud con fines de marketing. No segmentamos los correos de marketing por tu medicación, tu peso ni ningún otro atributo del artículo 9.

6.1 Con quién sí compartimos

Solo compartimos datos con los encargados del tratamiento que ejecutan partes del servicio por nosotros. Cada encargado está vinculado por un acuerdo de tratamiento de datos por escrito y solo puede usar tus datos siguiendo nuestras instrucciones. La lista completa, incluyendo el rol, la región, la categoría de datos y el estado del acuerdo de tratamiento de cada uno, está en /subprocessors.

6.2 Divulgaciones legales

Podemos divulgar tus datos cuando estemos legalmente obligados a hacerlo — por ejemplo, una orden judicial válida, una citación de una autoridad competente, o una solicitud de una autoridad de control. Cuando esto ocurre:

• Revisamos la solicitud y la impugnamos si es desproporcionada, vaga o parece exceder la autoridad legal del solicitante.
• Te notificamos, salvo que estemos legalmente impedidos de hacerlo.
• Divulgamos únicamente los datos específicos que exige la orden, nunca el registro completo del usuario.

6.3 Transferencias de negocio

Si alguna vez somos adquiridos, fusionados o reestructurados (Gila es actualmente un negocio unipersonal, así que es poco probable, pero conviene decirlo), tus datos podrían transferirse al nuevo operador. Se te notificará al menos 30 días antes del cambio y conservarás el derecho a eliminar tus datos antes de que se produzca cualquier transferencia.

6.4 Compartición comunitaria (la Biblioteca de Hábitos)

Gila cuenta con una Biblioteca de Hábitos comunitaria opcional. Si eliges enviar un hábito a ella — esto está desactivado por defecto y nunca es automático — ese envío se convierte en una divulgación pública, y deberías tratarlo como tal:

• Qué se hace público: el contenido del hábito que escribiste (título, descripción, el detonante y la acción, cualquier nota) y la etiqueta de autoría que elijas. Tu correo electrónico y tus identificadores de cuenta nunca se publican.
• Quién puede verlo: otros usuarios de Gila y personas que no han iniciado sesión. Trata todo lo que envíes como visible para internet abierto.
• Atribución de autoría: por defecto tu hábito se publica de forma seudónima — tu nombre real solo se muestra si activas expresamente esa opción en el momento de compartir.
• Revisión de seguridad: cada envío pasa por una comprobación de seguridad automatizada antes de poder aparecer. Superarla es una puerta de seguridad, no un aval médico ni editorial. Los hábitos de la comunidad son sugerencias entre pares, no consejo médico.
• Base jurídica: tu consentimiento explícito, recabado en el momento del envío (RGPD artículo 6(1)(a); y artículo 9(2)(a) / KVKK artículo 6 cuando el hábito refleja una conducta de salud). Esto es independiente del consentimiento que permite a Gila tratar tus datos para el coaching dentro de la app.
• Retirada y supresión: puedes retirar en cualquier momento un hábito que hayas publicado. Si eliminas tu cuenta, tus hábitos publicados se anonimizan (se elimina tu nombre y el vínculo con la cuenta); las copias que otros usuarios ya hayan adoptado en sus propios seguimientos siguen siendo suyas, pero dejan de atribuirse a ti.
• Denuncias y conservación: cualquiera puede denunciar un hábito, y el contenido que incumple las normas se elimina para todo el mundo. Si un envío es rechazado por la revisión de seguridad, el registro rechazado y sus etiquetas de seguridad de IA se conservan hasta 90 días (una ventana de apelación) y luego se eliminan. Consulta las Normas de la comunidad.

---

7. Menores

Gila está pensada para adultos. Debes tener 16 años o más — te lo preguntamos al registrarte. Si nos dices que los tienes y no es así, cerraremos la cuenta en cuanto lo sepamos. Padres y madres: si creéis que un menor de 16 años se ha registrado, escribid a dpo@gila.coach y eliminaremos la cuenta y los datos ese mismo día.

Elegimos 16 años porque es la edad de consentimiento digital más alta entre las jurisdicciones a las que damos servicio, lo que mantiene la regla sencilla.

Las divulgaciones completas de seguridad infantil, incluido cómo gestionamos las denuncias y las salvaguardas que aplicamos, están en nuestro Aviso de seguridad infantil.

---

8. Tus derechos

Tienes los derechos que se indican a continuación en todas las jurisdicciones a las que damos servicio. La redacción varía entre regímenes (RGPD, UK GDPR, KVKK, LGPD, CCPA, MHMDA y otras leyes estatales de EE. UU.), pero el efecto práctico es en gran medida el mismo. Cuando un derecho es específico de una jurisdicción, lo hemos señalado.

La mayoría de las solicitudes de acceso se resuelven en un plazo de 7 días; las solicitudes complejas pueden tardar hasta 30 días, con prórrogas en casos limitados (el límite del artículo 12(3) del RGPD es de 30 días, ampliable en 60 días para asuntos complejos; te informaremos dentro de los primeros 30 días si es necesaria una prórroga). No cobramos ninguna tarifa por una solicitud razonable.

8.1 Verificación de identidad

Para proteger tus datos, verificamos tu identidad antes de actuar sobre cualquier solicitud de acceso, eliminación o portabilidad — normalmente mediante un enlace de verificación por correo electrónico y nuestra comprobación antibots. Si no podemos verificarte, te diremos qué necesitamos.

8.2 Autoridades de control

Si consideras que no hemos gestionado tu solicitud correctamente, puedes reclamar ante una autoridad de control. Puedes elegir tu autoridad de origen o la correspondiente a nuestro establecimiento.

• Türkiye (nuestro regulador de origen) — Kişisel Verileri Koruma Kurulu (KVKK), Ankara — kvkk.gov.tr
• España (jurisdicción del representante en la UE) — Agencia Española de Protección de Datos (AEPD) — aepd.es
• Reino Unido — Information Commissioner's Office (ICO) — ico.org.uk
• Otros Estados miembros de la UE/EEE — tu autoridad nacional de protección de datos; la lista está en edpb.europa.eu
• Suiza — Encargado Federal de Protección de Datos e Información (FDPIC) — edoeb.admin.ch
• Brasil — Autoridade Nacional de Proteção de Dados (ANPD) — gov.br/anpd
• Canadá — Office of the Privacy Commissioner of Canada (OPC) — priv.gc.ca; los residentes de Québec también pueden contactar con la Commission d'accès à l'information
• Australia — Office of the Australian Information Commissioner (OAIC) — oaic.gov.au
• Estados Unidos — consulta /privacy/california, /privacy/washington y otros avisos estatales para el contacto de la fiscalía general correspondiente

---

9. Seguridad

Gila la gestiona una sola persona, y esa persona — Sezen — accede a tus datos únicamente cuando es necesario: un error, una incidencia de soporte, una prueba de calidad, una solicitud de eliminación que has pedido, o un incidente de seguridad. "Curiosear" no existe aquí. Cada acceso queda registrado. La capa técnica subyacente:

• Cifrado en tránsito — TLS 1.2+ (se prefiere TLS 1.3) en cada conexión, con conjuntos de cifrado débiles desactivados.
• Cifrado en reposo — AES-256 a nivel de plataforma en Supabase, Firebase y cada uno de los demás encargados del tratamiento nombrados.
• Seguridad a nivel de fila (RLS) — cada tabla de Supabase que contiene datos personales aplica seguridad a nivel de fila, de modo que solo puedes leer tus propios datos, y nuestro código de aplicación no puede saltársela.
• Autenticación — hash de contraseña con bcrypt (gestionado por Supabase); OAuth 2.0 con PKCE para el inicio de sesión con Google y con Apple; tokens de sesión limitados a ventanas de renovación cortas.
• Protección antibots — Cloudflare Turnstile en cada formulario público.
• Registro de auditoría — el registro de auditoría de Supabase y las migas de pan (breadcrumbs) de Sentry capturan accesos y errores.
• Minimización de datos por solicitud de IA — enviamos solo la instantánea mínima de tus datos necesaria para la función, nunca una exportación completa.
• Disciplina de límites de telemetría — PostHog y Sentry reciben un identificador con hash en lugar de tu correo electrónico. Según nuestras directrices de ingeniería, ningún dato de salud de Nivel 1 se incluye en eventos de analítica o de seguimiento de errores. Si se descubre una fuga, la tratamos como un incidente de privacidad conforme a nuestro compromiso de notificación en 72 horas.

Respuesta ante brechas de seguridad

Si se produce una violación de datos personales que probablemente suponga un riesgo para tus derechos, nos comprometemos a:

• notificar a la autoridad de control principal en un plazo de 72 horas desde que tengamos conocimiento, según exige el artículo 33 del RGPD;
• notificarte directamente sin dilación indebida cuando la violación probablemente suponga un riesgo alto (artículo 34 del RGPD);
• publicar un aviso público cuando un incidente afecte a una parte material de los usuarios — y siempre puedes contactar directamente con dpo@gila.coach por cuestiones de seguridad.

---

10. Conservación

Conservamos los datos personales durante el periodo que exige la finalidad, y después los eliminamos o anonimizamos. Resumen:

La eliminación de la cuenta es permanente. Una vez que hemos procesado tu solicitud y ha transcurrido la ventana de 30 días de copias de seguridad, no podemos recuperar tus datos — incluidas las entradas del diario, las fotos y el historial.

---

11. Cómo ejercer tus derechos

La forma más rápida de ejercer cualquier derecho de privacidad es el formulario de autoservicio DSAR en /dsar. Te guía a través de la verificación de identidad y te permite elegir acceso, corrección, eliminación, portabilidad, limitación u oposición en un solo lugar. Respondemos en un plazo de 30 días.

También puedes escribirnos a dpo@gila.coach. Si lo haces, incluye suficiente detalle para que podamos identificar tu cuenta (el correo con el que te registraste suele ser suficiente) e indícanos qué derecho estás ejerciendo.

Para la eliminación de cuenta en concreto, el atajo dentro de la app es Ajustes → Cuenta → Eliminar cuenta (iOS y Android), y el atajo web es /delete-account. Apple exige la eliminación de cuenta dentro de la app; lo cumplimos.

Si tu solicitud llega a través de un agente autorizado (por ejemplo, un agente autorizado por la CCPA en California), verificaremos tanto tu identidad como la autoridad del agente antes de actuar.

---

12. Cambios en esta política

Actualizamos esta política cuando algo material cambia — un nuevo encargado del tratamiento, una nueva función de IA, una nueva jurisdicción, una novedad regulatoria. Siempre que hagamos un cambio material, nos comprometemos a:

• publicar la política actualizada al menos 30 días antes de que entre en vigor;
• enviar por correo un resumen del cambio a cada titular de cuenta;
• señalar el cambio dentro de la app mediante el banner de cambio legal en el siguiente inicio de sesión.

Las ediciones menores (corrección de erratas, reparación de enlaces rotos, formato) entran en vigor de inmediato y quedan registradas en el registro de cambios al final de esta política. La versión actual se muestra en los metadatos de la política, al principio.

---

13. Derechos específicos por región

Distintas jurisdicciones añaden derechos o divulgaciones específicas sobre esta política general. Los enlaces siguientes te llevan al suplemento regional que se te aplica. Coexisten con esta política — léelos juntos.

• Aviso de privacidad para residentes de la UE y el Reino Unido — derechos completos del RGPD y del UK GDPR, incluido el derecho a oponerte al tratamiento basado en interés legítimo.
• Aviso de privacidad para residentes de California (CCPA / CPRA) — categorías específicas de California, derecho a saber, derecho a eliminar, derecho a corregir, derecho a limitar, y nuestra certificación de "no vendemos".
• Aviso de privacidad para residentes del estado de Washington (My Health My Data Act) — divulgaciones explícitas de datos de salud del consumidor, autorización de datos de salud independiente, y la vía de reclamación ante la Fiscalía General de WA.
• Aviso de privacidad para residentes de Türkiye (KVKK) — consentimiento explícito del artículo 9 de la KVKK para transferencias internacionales, derechos del artículo 11 de la KVKK, y la vía de reclamación ante el Consejo de la KVKK.
• Aviso de privacidad para residentes de Brasil (LGPD) — derechos de la LGPD y vía de reclamación ante la ANPD.
• Aviso de privacidad para residentes de Canadá (PIPEDA + Ley 25 de Québec).
• Aviso de privacidad para residentes de Australia (Privacy Act 1988).
• Aviso de privacidad para residentes de Suiza (revFADP).

La cobertura estatal de EE. UU. se extiende más allá de California y Washington: los residentes de Virginia, Colorado, Connecticut, Oregón, Texas, Montana, Iowa, Delaware, Maryland, New Hampshire, Nueva Jersey, Tennessee, Minnesota y Kentucky también tienen derechos conforme a sus leyes estatales de privacidad del consumidor. Las dos páginas específicas por estado anteriores (California y Washington) cubren los regímenes con mayor actividad de cumplimiento; para cualquiera de los demás estados aquí nombrados, escribe a dpo@gila.coach y responderemos conforme al marco de derechos de tu estado.

---

14. Cookies y tecnologías similares

El sitio web gila.coach usa cookies y tecnologías similares para mantenerte conectado, recordar tu idioma, ejecutar analítica de producto (con tu consentimiento en el EEE / Reino Unido / Suiza / Brasil) y proteger los formularios frente a bots. La app móvil de Gila no usa cookies web.

El inventario completo por cookie, incluyendo duración, tipo y categoría, está en nuestra Política de cookies. Puedes cambiar tus elecciones en cualquier momento desde el banner de cookies en el pie del sitio web, o escribiendo a dpo@gila.coach.

---

15. Contacto

Para cualquier pregunta, solicitud o preocupación sobre esta política o tus datos:

• Privacidad + DPO: dpo@gila.coach
• Soporte general: support@gila.coach
• Dirección postal: Karya Evleri 3/18, Ataşehir Mahallesi, Çiğli, İzmir, Türkiye
• Representante en la UE (RGPD artículo 27): en proceso de designación; mientras tanto, contacta con dpo@gila.coach
• Representante en el Reino Unido (UK GDPR artículo 27): en proceso de designación; mientras tanto, contacta con dpo@gila.coach

Si has leído hasta aquí y tu duda no ha quedado resuelta, escribe a la DPO y te responderemos en un plazo de 30 días, sin coste alguno.

---

Registro de cambios