1. Responsable del tratamiento
- Titular: Jorge Sanía García
- NIF: 44893632R
- Domicilio: Carrer de l'Arxipreste Domingo Sancho, 4, Burjassot, Valencia
- Correo electrónico: info@rampup.es
2. Qué datos tratamos
- Cuenta: usuario, nombre, correo electrónico (guardado cifrado) y contraseña (guardada solo como resumen criptográfico, nunca en claro); 2FA si lo activas; y tu foto de perfil si la pones (guardada cifrada; la ven tus amigos, tus equipos y, si no lo desactivas en «Qué compartes», quien te busque para añadirte). Si entras con Google, recibimos de Google solo tu nombre, tu correo (ya verificado) y un identificador de tu cuenta de Google; nunca tu contraseña de Google.
- Datos de salud y entrenamiento (categoría especial, art. 9 RGPD): actividades, ritmos, pulso, variabilidad cardiaca, sueño (incluidas la temperatura de la piel, la respiración y el oxígeno en sangre por la noche, si tu reloj los mide), peso, lesiones, sensaciones y notas que nos des o que importamos de Garmin, Huawei Health, Polar, Wahoo, WHOOP, Oura, Withings, intervals.icu, Hevy, Strava o de los archivos que subas (.fit, .gpx, .tcx; solo se guarda el resumen, no el recorrido).
- Perfil y objetivo: carrera, marca objetivo, disponibilidad, preferencias de dieta, alergias y material.
- Conexiones: credenciales y permisos de acceso de los servicios que conectes (Garmin, Huawei Health, Polar, Wahoo, WHOOP, Oura, Withings, intervals.icu, Hevy y Strava), siempre cifrados (AES-256-GCM).
- Seguridad de tus datos: todo lo que guardamos de ti (datos de salud, entrenos, perfil, chat con el coach) se almacena cifrado con AES-256-GCM y una clave distinta para cada persona y cada dato; los chats de equipo, también. Las comunicaciones van siempre por HTTPS.
- Pagos: plan, importes, fecha y referencias de Stripe. Los datos de la tarjeta los trata Stripe; nosotros no los vemos.
- Uso y seguridad: puntos consumidos, coste del uso de la IA, días de actividad, IP y navegador de las sesiones, y registro de acciones de seguridad. También un registro de uso interno (qué pantallas abres y qué acciones haces, como crear el plan o apuntar sensaciones, con su hora), solo para mejorar la app: sin el contenido de lo que escribes ni datos de salud, no se comparte con nadie y se borra a los 90 días.
3. Para qué y con qué base legal
| Finalidad | Base legal |
|---|---|
| Prestar el servicio: cuenta, planes y coach | Ejecución del contrato (art. 6.1.b RGPD) |
| Tratar tus datos de salud para personalizar los planes | Tu consentimiento explícito (art. 9.2.a RGPD), que puedes retirar en cualquier momento |
| Cobros, facturación y obligaciones fiscales | Contrato y obligación legal (art. 6.1.b y 6.1.c) |
| Enviarte por correo lo que elijas en Ajustes → Cuenta: resumen semanal, entreno del día y avisos importantes. Cada correo trae su enlace de baja. Nunca publicidad. | Ejecución del contrato (art. 6.1.b); puedes desactivarlos cuando quieras |
| Correos de la cuenta: confirmar tu correo y recuperar la contraseña | Ejecución del contrato (art. 6.1.b) |
| Lista de espera de nuevos retos (triatlón, bici…): avisarte una sola vez cuando estén disponibles | Tu consentimiento (art. 6.1.a), que puedes retirar escribiéndonos |
| Seguridad, prevención de abusos y del fraude | Interés legítimo (art. 6.1.f) |
No vendemos tus datos, no hacemos publicidad ni perfiles comerciales, y no tomamos decisiones automatizadas con efectos jurídicos sobre ti. La IA genera propuestas que tú decides seguir o no.
Inteligencia artificial: declaración de transparencia
- Qué hace la IA: el coach es un modelo de lenguaje de Anthropic (Claude). Con tus datos crea y adapta tu plan, revisa tu semana y responde a tus mensajes. Todo lo que propone es una sugerencia: tú decides si la sigues.
- Qué datos recibe: un resumen de tu objetivo, tu perfil, tus entrenos, tu sueño, tu VFC, tu pulso en reposo y tu recuperación, de las fuentes que conectes (Garmin, Huawei Health, Polar, Wahoo, WHOOP, Oura, Withings, intervals.icu, Hevy o archivos), y lo que le escribas, incluidas tus indicaciones para el plan. Nunca recibe datos de Strava ni tu contraseña.
- Indicaciones y PDF para el plan: si escribes indicaciones o subes un PDF (por ejemplo, el plan de tu entrenador), la IA lo lee una vez para sacar un resumen. Guardamos solo ese resumen, cifrado, y lo puedes ver y borrar en Plan; el PDF no se guarda.
- Sin entrenar IA: ni nosotros ni Anthropic usamos tus datos (incluidos los de Garmin y demás dispositivos) para entrenar, evaluar ni mejorar modelos de inteligencia artificial. Anthropic los procesa solo para generar cada respuesta, según sus condiciones comerciales.
- Tu consentimiento: lo das de forma explícita al registrarte (casilla de datos de salud, donde se explica el uso de la IA) y al conectar cada fuente.
- Cómo retirarlo, cuando quieras y sin borrar la cuenta: en Ajustes → Conexiones → Garmin, desmarca «Usar mis datos de Garmin con el coach IA». Desde ese momento tus datos de Garmin dejan de enviarse a la IA (los sigues viendo en la app). También puedes desconectar cualquier fuente, lo que borra sus datos, o borrar la cuenta.
4. Quién más accede a los datos
Solo los proveedores necesarios para prestar el servicio, con contrato de encargo y garantías:
- Vercel Inc. (alojamiento de la app) y Upstash Inc. (base de datos).
- OVH SAS (Francia, UE): servidor de correo desde el que te enviamos los correos de la app.
- Anthropic PBC (IA Claude): recibe los datos necesarios para generar cada respuesta. Según sus condiciones comerciales, no los usa para entrenar sus modelos.
- Stripe Payments Europe Ltd. (pagos), que también actúa como responsable para sus obligaciones legales.
- Garmin, Huawei Health, Polar, Wahoo, WHOOP, Oura, Withings, intervals.icu, Hevy y Strava: solo si los conectas, como fuentes de tus datos (y, en Garmin y Hevy, para enviarte los entrenos que pidas). Los datos de Strava solo se te muestran a ti y no se envían a la IA, como exige su política.
- Huawei Health (Health Service Kit de Huawei): solo si lo conectas, con tu autorización mediante tu HUAWEI ID. Solo leemos tus entrenos, tu pulso, tu sueño, tu estrés, tu capacidad deportiva (VO₂máx) y tu composición corporal (peso), con hasta un año de historial; no escribimos nada en Huawei Health. Puedes desconectarlo cuando quieras en Ajustes → Conexiones, y al hacerlo se borran esos datos de RampUp.
- Tus amigos y los grupos a los que te unes dentro de la app: solo si aceptas la amistad o la invitación al grupo, y solo lo que tú elijas en Amigos (tu objetivo y el plan de la semana, las actividades que haces —deporte, nombre, distancia, tiempo, ritmo o velocidad y desnivel—, si cumples el plan, tus carreras y marcas). Nunca se comparten datos de salud (sueño, pulso, VFC, peso), comidas, sensaciones, notas ni tus conversaciones con el coach. En los grupos, los demás miembros ven además las quedadas a las que te apuntas y los mensajes que escribes en el chat del grupo (puedes borrarlos; si borras tu cuenta, se borran todos). Puedes dejar de compartir, quitar a un amigo o salir de un grupo cuando quieras.
- OpenStreetMap Foundation: sirve las imágenes de los mapas (de la carrera y de tus sitios; recibe tu IP al cargarlas). Para «Descubrir cerca» y para poner nombre a tus sitios (el parque o el barrio donde sueles empezar), nuestro servidor consulta servicios de búsqueda sobre datos de OpenStreetMap —Overpass y Nominatim (OpenStreetMap Foundation), Photon (komoot GmbH, Alemania) y Geoapify (Geoapify GmbH, Alemania)— solo con un punto aproximado (redondeado a ~500 m-1 km) y sin ningún dato que te identifique. Si pulsas «Usar mi ubicación», tu navegador te pide permiso y la ubicación solo se usa para centrar el mapa y esa búsqueda: no la guardamos.
Algunos de estos proveedores están en EE. UU. Las transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.
5. Cuánto tiempo
- Mientras tengas la cuenta. Al borrarla eliminamos al momento todos tus datos de nuestra base de datos.
- El detalle diario de uso de la IA se guarda 90 días; los totales mensuales, mientras exista la cuenta.
- Lista de espera: tu correo, cifrado, hasta que te avisemos del lanzamiento o nos pidas borrarlo.
- El registro de seguridad (quién hace qué acción, cuándo y desde qué IP; sin datos de salud) se guarda 1 año.
- Copias de seguridad: una diaria de toda la base de datos, cifrada y en un almacén privado en la UE (París), que se borra a los 30 días. Si borras tu cuenta, tus datos desaparecen de las copias como mucho en esos 30 días.
- Los recibos y facturas los conserva Stripe durante los plazos que exige la ley (6 años, Código de Comercio).
6. Tus derechos
Puedes ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y retirar tu consentimiento, sin que afecte a lo tratado antes:
- Desde la app, en Ajustes → Cuenta y privacidad: descargar tus datos (portabilidad) y borrar la cuenta (supresión).
- En Ajustes → Conexiones: quitar el permiso para que la IA use tus datos de Garmin, o desconectar cualquier fuente (se borran sus datos).
- Escribiendo a info@rampup.es.
Retirar el consentimiento para los datos de salud implica borrar la cuenta, porque sin esos datos el coach no puede funcionar. Si crees que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos.
7. Seguridad
Cifrado en tránsito (HTTPS) y en reposo de las credenciales de terceros, contraseñas con scrypt, 2FA opcional, sesiones revocables, límites contra ataques de fuerza bruta y aislamiento de los datos de cada usuario.
8. Menores
La app es solo para mayores de 18 años.