Versión: 3.0 · Vigencia: 2026-11-01 · Operador: NutYet Team · Contacto: support@nutyet.com
1 Responsable y ámbito de aplicación
1.1 El responsable del tratamiento de datos personales es NutYet Team, con correo electrónico de contacto support@nutyet.com. El nombre completo de la entidad, la dirección registrada y demás información podrán solicitarse por correo electrónico. 1.2 La presente Política se aplica al tratamiento de datos personales derivado del uso que usted haga de este servicio a través del cliente oficial, el sitio web oficial u otros puntos de acceso que reconozcamos; no se aplica a las políticas de privacidad independientes de sitios web de terceros, aplicaciones de terceros ni publicadores de contenido de terceros. 1.3 Este servicio está dirigido exclusivamente a personas adultas que hayan cumplido 18 años; no prestamos servicios a menores de edad ni recopilamos deliberadamente datos personales de menores de 14 años.
2 Datos personales que tratamos
2.1 Cuenta e identidad: nombre de usuario, hash de la contraseña, ID de usuario, credenciales de acceso, apodo, avatar, biografía, preferencias de idioma/tema, configuración del bloqueo de la aplicación (el PIN se almacena en el dispositivo como hash con sal). 2.2 Registros de salud y conducta (sensibles): tipo de registro, fecha y hora, frecuencia, duración, notas, desencadenantes, autoevaluación de estado de ánimo/energía, así como días consecutivos, puntuación de estado, tendencias, progreso de objetivos, puntos de experiencia, nivel, logros y puntuación diaria derivados. 2.3 Comunidad y relaciones sociales: publicaciones, comentarios, imágenes, «me gusta», favoritos, temas, términos de búsqueda, relaciones de amistad/seguimiento, bloqueos y registros de denuncias. 2.4 Consumo de contenido: progreso de reproducción, listas de reproducción, favoritos, historial de lectura e historial de navegación. 2.5 Mensajes y recordatorios: mensajes internos, contenido y estado de lectura de las notificaciones, horas de los recordatorios y reglas de repetición, identificadores push (si se integran). 2.6 Dispositivo y registros: modelo del dispositivo, versión del sistema, versión de la aplicación, idioma, zona horaria, tipo de red, IP, registros de acceso, registros de fallos, identificador/huella del dispositivo y lista de dispositivos de inicio de sesión. 2.7 Comentarios y atención al cliente: contenido de los comentarios, datos de contacto opcionales, versión, plataforma e historial de comunicaciones. 2.8 Datos tratados por IA: textos, imágenes, apodos, biografías y avatares que usted envíe o publique, utilizados para traducción y moderación de contenido. 2.9 No recopilamos de forma activa: ubicación geográfica precisa, agenda de contactos, mensajes SMS, historial de llamadas, número de documento de identidad, número de tarjeta bancaria, plantillas biométricas originales, contenido del micrófono o del portapapeles (salvo lo que usted pegue voluntariamente).
3 Datos personales sensibles y consentimiento separado
3.1 Sus registros de salud/actividad sexual y sus autoevaluaciones de estado de ánimo y energía son datos personales sensibles. 3.2 Solo los tratamos en la medida necesaria para prestar funcionalidades esenciales como registros, estadísticas, objetivos, logros y recomendaciones de contenido. 3.3 Antes del primer uso de la función de registros, le informaremos mediante una ventana emergente independiente sobre los fines, métodos, necesidad, impacto sobre usted, plazo de conservación y sus derechos, y obtendremos su consentimiento separado; no lo obtendremos mediante casillas premarcadas, consentimiento agrupado ni condicionando el uso de la totalidad de las funcionalidades a su otorgamiento. 3.4 Usted podrá retirar su consentimiento en cualquier momento en «Ajustes → Privacidad y seguridad → Gestión de consentimientos» o a través de support@nutyet.com; la retirada no afectará al tratamiento realizado antes de la misma. 3.5 La denegación o retirada podrá impedir el uso de funciones como registros y estadísticas, pero no afectará a funciones como la navegación o el audio que no dependen de dichos datos.
4 Fines del tratamiento y base jurídica
4.1 Fines: registro, inicio de sesión y seguridad de la cuenta; registros, estadísticas, objetivos y logros; interacción comunitaria; audio/artículos; recordatorios; emparejamiento de dispositivos; moderación de contenido y seguridad; traducción, moderación y recomendaciones mediante IA; seguridad, control de riesgos y cumplimiento; mejora del producto; atención al cliente y solicitudes de derechos; servicios de pago (en su caso, en el futuro). 4.2 Bases jurídicas: ejecución de un contrato o prestación de los servicios que usted solicita; su consentimiento (datos sensibles, notificaciones push, tratamiento mediante IA, elaboración de perfiles opcional); obligaciones legales; intereses legítimos (seguridad, prevención de abusos, mejora del producto); protección de intereses legítimos esenciales. 4.3 En el EEE, el Reino Unido y Suiza, nos basamos en el RGPD/UK GDPR/FADP; respecto de categorías especiales de datos, solo los tratamos cuando usted haya dado su consentimiento explícito o concurra otra excepción legítima. 4.4 En California (Estados Unidos) y otros lugares, divulgamos los fines comerciales, los derechos y la situación de «venta/cesión» conforme a la legislación estatal aplicable; no vendemos datos personales.
5 Cesión, tratamiento por encargo y SDK
5.1 No vendemos sus datos personales; solo compartimos la información necesaria en la medida imprescindible para los fines y exigimos a los destinatarios medidas de protección no inferiores a las de la presente Política. 5.2 Los destinatarios incluyen: alojamiento en la nube y bases de datos (AWS, Tokio, Japón), almacenamiento de objetos/CDN (Cloudflare R2, mundial), proveedores de IA (interfaz compatible con OpenAI, por defecto Estados Unidos), distribución de aplicaciones y compras integradas (Apple/Google), proveedores de servicios de correo electrónico y atención al cliente. 5.3 Podremos compartir la información necesaria con sociedades vinculadas y proveedores de servicios; en caso de transmisión de datos personales por fusión, adquisición, reestructuración o insolvencia, exigiremos al sucesor que siga sujeto a la presente Política o que obtenga un nuevo consentimiento. 5.4 Solo revelaremos o facilitaremos información cuando lo exija la ley, una autoridad judicial o regulatoria, o sea necesario para proteger intereses legítimos esenciales. 5.5 No hemos integrado SDK de publicidad, SDK de estadísticas de terceros ni SDK de notificaciones push de terceros (según la versión actual); si en el futuro los integramos, actualizaremos la presente Política y la lista y obtendremos los consentimientos necesarios. 5.6 La lista completa figura en la Lista de Recopilación de Datos Personales y Cesión a Terceros.
6 Transferencias transfronterizas
6.1 Nuestros servidores principales se encuentran en Tokio (Japón), el almacenamiento de objetos utiliza Cloudflare R2 (mundial) y los servicios de IA pueden estar en Estados Unidos; sus datos personales podrán transferirse entre Japón, Estados Unidos y otras jurisdicciones. 6.2 Si usted es usuario del EEE, el Reino Unido o Suiza, las transferencias transfronterizas se realizarán conforme a los mecanismos del capítulo V del RGPD (decisiones de adecuación, SCC, IDTA, mecanismos del FADP) y con medidas complementarias. 6.3 Si usted se encuentra en otros mercados que exijan cumplimiento transfronterizo, cumpliremos las obligaciones de información, consentimiento, contractuales o de registro conforme a la legislación local. 6.4 Solo transferimos los datos mínimos necesarios para los fines y exigimos a los destinatarios que adopten medidas de seguridad y no los utilicen para fines distintos de los convenidos. 6.5 No prestamos servicios en China continental; si en el futuro accedemos a dicho mercado, cumpliremos por separado las obligaciones de información, consentimiento separado y registro/evaluación conforme a la legislación china.
7 Plazos de conservación
7.1 Cuenta y datos de perfil: durante la vigencia de la cuenta; se eliminarán o anonimizarán en los 30 días siguientes a la eliminación de la cuenta. 7.2 Registros y estadísticas: durante la vigencia de la cuenta; se eliminarán en los 30 días siguientes a su eliminación; tras la eliminación de la cuenta, se aplicará lo anterior. 7.3 Contenido comunitario: hasta su eliminación o la de la cuenta, salvo que la ley exija conservarlo. 7.4 Registros y datos de seguridad: 6–24 meses. 7.5 Registros de denuncias/apelaciones/moderación: 3 años. 7.6 Comentarios: 2 años. 7.7 Copias de seguridad: se sobrescribirán o destruirán dentro del ciclo de rotación de copias de seguridad (máximo 90 días). 7.8 Transacciones y facturas (en su caso, en el futuro): se conservarán conforme a la ley (normalmente no menos de 5 años). 7.9 Transcurridos dichos plazos, eliminaremos o anonimizaremos los datos, salvo que la ley disponga otra cosa.
8 Seguridad y notificación de incidentes
8.1 Adoptamos medidas como cifrado TLS, hash de contraseñas con sal, control de acceso, mínimo privilegio, registros de auditoría, clasificación y categorización de datos, ciclo de vida de desarrollo seguro, evaluaciones de seguridad de proveedores y pruebas de copia de seguridad y recuperación. 8.2 En caso de producirse o poder producirse una filtración, alteración o pérdida de datos personales, activaremos de inmediato el plan de emergencia, adoptaremos medidas correctoras, lo comunicaremos a las autoridades competentes conforme a la ley y notificaremos puntualmente a los afectados, informando de las circunstancias, los posibles impactos, las medidas adoptadas y las recomendaciones de protección. 8.3 Cuando sea aplicable el RGPD, notificaremos a la autoridad de control en las 72 horas siguientes al conocimiento del incidente (salvo que sea improbable que entrañe un riesgo para sus derechos y libertades). 8.4 Ninguna medida de seguridad garantiza una seguridad absoluta; custodie adecuadamente sus credenciales, active el bloqueo de la aplicación y no guarde la sesión iniciada en dispositivos públicos.
9 Sus derechos
9.1 Usted tiene derecho a la información y a decidir, a acceder, a obtener una copia, a rectificar, a completar, a suprimir, a retirar el consentimiento, a eliminar la cuenta, a recibir explicaciones, a la portabilidad y a presentar denuncias y reclamaciones. 9.2 Rutas en la aplicación: Mi perfil → Editar datos; Mi perfil → Ajustes → Privacidad y seguridad → Descargar mis datos/Gestión de consentimientos/Recomendaciones personalizadas; Mi perfil → Ajustes → Cuenta → Eliminar cuenta; Detalle del contenido → Denunciar. 9.3 También podrá enviar un correo electrónico a support@nutyet.com con el asunto «Solicitud de derechos de privacidad», indicando el tipo de solicitud y datos verificables de identidad. 9.4 Normalmente responderemos en un plazo de 30 días (zona del RGPD; en casos complejos podremos prorrogarlo conforme a la ley informando de los motivos); en California (Estados Unidos), 45 días; en otras regiones, conforme a los plazos legales locales. 9.5 En supuestos que afecten a la seguridad nacional, la seguridad pública, pruebas judiciales, derechos legítimos de terceros o que sean técnicamente inviables, podremos no atender total o parcialmente las solicitudes conforme a la ley, indicando los motivos. 9.6 Si no está satisfecho con nuestra respuesta, podrá presentar una reclamación ante la autoridad de protección de datos local.
10 Decisiones automatizadas, recomendaciones personalizadas e IA
10.1 Podremos utilizar reglas o modelos para generar puntuaciones de estado, tendencias, grado de cumplimiento de objetivos, ordenación y recomendaciones de contenido; estos tratamientos mejoran la experiencia y no constituyen decisiones automatizadas que produzcan efectos jurídicos o repercusiones significativas similares para usted. 10.2 No adoptaremos decisiones con efectos significativos para usted basadas únicamente en tratamientos automatizados (por ejemplo, la decisión final de bloquear permanentemente una cuenta se revisa manualmente). 10.3 Usted podrá desactivar las recomendaciones personalizadas en la configuración; tras desactivarlas, seguirá viendo contenido no personalizado. 10.4 Utilizamos IA para traducción, moderación de contenido textual y gráfico, moderación de apodos, biografías y avatares y recomendaciones; los resultados de la IA pueden contener errores y no constituyen asesoramiento médico, jurídico ni de otra índole profesional. 10.5 Etiquetamos el contenido generado o sintetizado por IA conforme a las Medidas para el Etiquetado de Contenido Generado o Sintetizado por Inteligencia Artificial y la legislación aplicable; usted no podrá eliminar, alterar ni falsificar las etiquetas. 10.6 Revisamos manualmente el contenido que la IA califica como de alto riesgo; usted podrá apelar.
11 Menores de edad
11.1 Este servicio está dirigido exclusivamente a personas adultas que hayan cumplido 18 años y no se ofrece a menores de edad. 11.2 No recopilamos deliberadamente datos personales de menores de 14 años; si detectamos una recopilación accidental, los eliminaremos lo antes posible. 11.3 Si usted es menor de edad y tiene entre 14 y 18 años, lea la presente Política acompañado de su tutor legal y utilice únicamente las funciones no sensibles tras obtener el consentimiento de aquel; no obstante, seguimos recomendando que los menores de edad no utilicen este servicio. 11.4 El tutor legal podrá ejercer en nombre del menor los derechos de acceso, rectificación, supresión, retirada del consentimiento y eliminación de la cuenta; contacte con nosotros a través de support@nutyet.com y aporte prueba de la relación de tutela.
12 Cookies y almacenamiento local
12.1 La aplicación utiliza almacenamiento local (SharedPreferences, almacenamiento seguro, caché) para guardar el estado de la sesión, el tema, el idioma, la configuración de recordatorios, los borradores, el progreso de reproducción y la configuración del bloqueo de la aplicación. 12.2 El sitio web oficial es un sitio estático y actualmente no integra cookies de análisis, publicidad o seguimiento de terceros; podrá utilizar almacenamiento local necesario para guardar la preferencia de idioma. 12.3 Usted podrá borrar los datos o la caché de la aplicación en los ajustes del sistema; tras el borrado, es posible que deba iniciar sesión de nuevo y que se pierdan algunas preferencias. 12.4 No utilizamos el almacenamiento local para vender sus registros de hábitos a redes publicitarias de terceros ni realizamos seguimiento publicitario entre aplicaciones.
13 Permisos del dispositivo
13.1 Red: sincronización de datos y carga de contenido (necesario para las funciones básicas). 13.2 Notificaciones: recordatorios y notificaciones push (puede denegarse). 13.3 Cámara: escanear el código QR del reloj y tomar imágenes de avatar o publicaciones (puede denegarse). 13.4 Galería/fotos: elegir avatar e imágenes para publicaciones (puede denegarse). 13.5 Reproducción multimedia/servicio en primer plano: reproducción de audio de meditación en segundo plano (puede denegarse). 13.6 Bluetooth/dispositivos cercanos: emparejamiento de dispositivos (si se activa, puede denegarse). 13.7 Bloqueo de la aplicación (biometría): desbloqueo en el dispositivo (puede denegarse; deberá utilizar el PIN o la contraseña del sistema). 13.8 La solicitud de permisos explicará su finalidad cuando se active la función correspondiente; usted podrá desactivarlos en cualquier momento en los ajustes del sistema.
14 Actualizaciones de la Política y contacto
14.1 Podremos modificar la presente Política oportunamente; las modificaciones sustanciales se notificarán mediante avisos destacados, ventanas emergentes o mensajes internos en la aplicación, y se actualizarán el número de versión y la fecha de entrada en vigor. 14.2 Se consideran modificaciones sustanciales las relativas a los fines, métodos o categorías del tratamiento, la identidad del responsable, los destinatarios de cesiones o transferencias transfronterizas, sus derechos o su ejercicio y las reglas sobre datos sensibles. 14.3 Si las modificaciones requieren un nuevo consentimiento, lo solicitaremos antes de que usted continúe utilizando el servicio; podrá solicitarnos el acceso a las versiones anteriores. 14.4 Contacto: support@nutyet.com; atención al cliente: support@nutyet.com; denuncias por infracción: support@nutyet.com. 14.5 Si no está satisfecho con nuestra respuesta, podrá presentar una reclamación ante la autoridad de protección de datos local.
15 Cláusulas adicionales por región
15.1 EEE/Reino Unido/Suiza: el responsable del tratamiento es NutYet Team; si usted se encuentra en esta región, póngase en contacto con nosotros a través de support@nutyet.com. Usted tiene derecho a acceder, rectificar, suprimir, limitar el tratamiento, a la portabilidad de los datos, a oponerse, a retirar su consentimiento, a no ser objeto de decisiones automatizadas y a presentar una reclamación ante la autoridad de control. Las transferencias transfronterizas se realizan mediante los mecanismos SCC/IDTA/FADP. 15.2 Estados Unidos (California, etc.): recopilamos identificadores, información comercial, actividad en internet, datos personales sensibles e información inferida; las fuentes son usted, la recopilación automática y los proveedores de servicios; los fines son la prestación del servicio, la seguridad, la mejora y el cumplimiento; no vendemos datos personales ni los compartimos para publicidad conductual entre contextos; usted tiene derecho a la información, supresión, rectificación, limitación del uso de datos sensibles, no discriminación y ejercicio mediante representante autorizado; normalmente respondemos en un plazo de 45 días. 15.3 Brasil (LGPD): usted tiene derecho a confirmar el tratamiento, acceder, rectificar, anonimizar/suprimir, a la portabilidad, retirar el consentimiento, oponerse y reclamar; las transferencias internacionales se realizan conforme a los mecanismos del artículo 33 de la LGPD; la autoridad de reclamación es la ANPD. 15.4 Japón (APPI): podremos facilitar datos personales a terceros en el extranjero; obtendremos el consentimiento conforme a la ley y facilitaremos la información del destinatario; usted podrá solicitar la divulgación, rectificación, suspensión del uso y supresión; la autoridad de reclamación es la PPC. 15.5 Corea del Sur (PIPA): usted tiene derecho de acceso, rectificación, supresión, suspensión del tratamiento y retirada del consentimiento; si se alcanza el umbral legal, designaremos un agente nacional; las autoridades de reclamación son la PIPC/KISA. 15.6 Sudeste asiático: los derechos de acceso, rectificación, supresión, retirada del consentimiento, oposición y portabilidad previstos en la PDPA de Tailandia, la PDPA de Malasia, la Ley PDP de Indonesia, la PDPA de Vietnam y la PDPA de Singapur se ejercerán conforme a la legislación local. 15.7 Turquía/Oriente Medio: los derechos de acceso, rectificación, supresión, retirada del consentimiento, oposición y reclamación previstos en la KVKK y en la PDPL de Arabia Saudí/Emiratos Árabes Unidos se ejercerán conforme a la legislación local. 15.8 Canadá: los derechos de acceso, rectificación, retirada del consentimiento y reclamación previstos en la PIPEDA y en la Ley 25 de Quebec se ejercerán conforme a la legislación local. 15.9 El presente apéndice no excluye los derechos que usted ostente conforme a la legislación imperativa local; en caso de conflicto con el cuerpo principal, respecto de su región prevalecerá el presente apéndice.