Política de privacidad

Versión: 1.3
Fecha de vigencia: 1 de junio de 2026
Última actualización: 14 de octubre de 2026

Tabla de contenidos

1. Acerca de esta política
2. Quiénes somos
3. Información que recopilamos
4. Cómo usamos su información
5. Bases legales del tratamiento
6. Almacenamiento y seguridad de datos
7. Compartición de datos y terceros
8. Conservación de datos
9. Sus derechos
10. Eliminación de cuenta y datos
11. Privacidad de los niños
12. Transferencias internacionales de datos
13. Cookies y seguimiento en el sitio web
14. Cambios en esta política
15. Contacto

Anexos regionales:

• A. Espacio Económico Europeo, Reino Unido y Suiza
• B. Estados Unidos y Canadá
• C. Brasil
• D. Latinoamérica — México y Argentina
• E. Kazajistán
• F. Otros países

1. Acerca de esta política

Esta política de privacidad explica cómo HelAI («nosotros», «nuestro») recopila, usa, almacena y protege la información personal cuando utiliza la aplicación móvil HelAI (disponible en iOS y Android) y el sitio web helai.app (colectivamente, el «Servicio»).

2. Quiénes somos

Responsable del tratamiento: Konstantin Yeftifeyev, persona física que opera como HelAI
Taugul-1, casa 57
050001 Almatý
República de Kazajistán

HelAI está creado y gestionado por una sola persona física. No hay empresa ni empleados. Por eso tampoco hay delegado de protección de datos: las solicitudes de privacidad las atiende el operador personalmente.

Teléfono: +7 778 767 7555
Contacto de privacidad: [email protected]
Contacto general: [email protected]
Sitio web: https://helai.app

3. Información que recopilamos

3.1 Datos de cuenta

Al crear una cuenta, recopilamos: dirección de correo electrónico, nombre de visualización, proveedor de autenticación (Google, Apple o correo electrónico/contraseña), ID de usuario de Firebase, fecha de creación de la cuenta.

Su UID es un identificador seudónimo: no contiene su nombre ni su correo electrónico. Además de nuestro propio backend, se utiliza como su identificador de cliente en RevenueCat (Sección 3.10), como su identificador de usuario en Google Analytics si otorga el consentimiento de Analítica (Sección 3.6) y como su identificador de cliente en AppsFlyer si otorga el consentimiento de Marketing (Sección 3.7).

3.2 Datos de salud y estado físico

Si otorga permiso, HelAI puede leer desde Apple Health (iOS) o Google Health Connect (Android): duración y calidad del sueño, frecuencia cardíaca en reposo y variabilidad de la frecuencia cardíaca (VFC), peso y altura, porcentaje de grasa corporal, pasos diarios y minutos activos.

Estos datos leídos se almacenan exclusivamente en su dispositivo. Nunca se transmiten a servidores externos ni se comparten con terceros.

También escribimos dos cosas de vuelta, si usted lo permite. Cuando termina un entrenamiento, HelAI puede añadir esa sesión y una cifra de calorías activas a Apple Health o Health Connect para que la sesión aparezca en sus totales de actividad. La cifra de calorías es una estimación calculada a partir del tipo de ejercicio, la duración y su peso corporal: no es una medición. Puede desactivarlo en la aplicación, y si elimina un entrenamiento en HelAI también se elimina el registro que HelAI escribió. No escribimos nada más, y nada de ello llega a nuestros servidores.

3.3 Datos de entrenamiento

Sesiones, series, repeticiones, pesos, récords personales, objetivos e historial, almacenados localmente en una base de datos cifrada.

Versión gratuita — solo en el dispositivo: todos los datos de entrenamiento permanecen en su dispositivo; no subimos el historial de entrenamiento de los usuarios de la versión gratuita.

HelAI Pro — sincronización en la nube: si se suscribe a HelAI Pro, su historial de entrenamiento (sesiones, ejercicios, series), objetivos, récords personales, plantillas de entrenamiento, programas, logros, ejercicios personalizados y ajustes por ejercicio se sincronizan con nuestro backend (Firebase Data Connect) bajo su identificador de usuario, de modo que queden respaldados y disponibles en todos los dispositivos en los que inicie sesión. La sincronización en la nube forma parte del servicio de pago Pro que usted contrata (Sección 5, ejecución del contrato). Cuando finaliza su suscripción, la sincronización en la nube cesa: no se sube ni se descarga nada nuevo. La copia en la nube existente se conserva, sin usarse, hasta que usted elimine su cuenta o solicite su supresión (Sección 10). La conservamos sobre la base de nuestro interés legítimo en que quien vuelva a suscribirse no pierda su historial de entrenamiento (Sección 5); puede oponerse en cualquier momento (Sección 9). Si vuelve a suscribirse, la sincronización se reanuda con esa copia. La copia de su dispositivo no se ve afectada.

3.4 Datos de cámara

Los fotogramas de vídeo en vivo se procesan íntegramente en su dispositivo para la detección de poses y el conteo de repeticiones, y se descartan fotograma a fotograma. No se almacena ni se transmite ningún vídeo ni ninguna imagen, ni a nosotros ni a terceros.

Los informes de técnica permanecen en su dispositivo. Después de cada serie, el entrenador de IA guarda un breve resumen estructurado —número de repeticiones, errores de ejecución detectados, estadísticas de ángulos articulares y tempo— en la base de datos cifrada de su dispositivo, para que pueda consultarlo más tarde. No contiene vídeo ni imágenes, nunca se sube a ningún servidor y se elimina cuando usted borra la serie o desinstala la aplicación.

Si decide analizar un vídeo de su fototeca, la aplicación copia ese archivo a su propio almacenamiento mientras dura el análisis y lo elimina después. El procesamiento ocurre en el dispositivo y el vídeo nunca se sube.

3.5 Datos técnicos y de diagnóstico

Modelo de dispositivo, versión del sistema operativo y de la aplicación, informes de fallos (a través de Firebase Crashlytics).

Forma parte de la categoría de consentimiento «Diagnóstico». Está desactivada de forma predeterminada y solo se recopila si usted la acepta en la pantalla de consentimiento de la aplicación. La recopilación de Crashlytics está desactivada al iniciar la aplicación hasta que otorgue su consentimiento, y puede retirarlo en cualquier momento (véanse las Secciones 5 y 9).

Si la aplicación falla mientras Diagnóstico está desactivado, el informe de fallo que Crashlytics guarda en el dispositivo se elimina allí mismo. No se envía más tarde, aunque usted active Diagnóstico después. Al retirar Diagnóstico también se elimina cualquier informe que aún no se haya enviado.

3.6 Datos analíticos

Para entender cómo se usa la aplicación y mejorar el producto, recopilamos:

• Vistas de pantalla — qué pantallas abre dentro de la aplicación (por ejemplo, «Home», «Profile», «ActiveWorkout», «PoseCamera»)
• Un pequeño conjunto de eventos de producto — el inicio de sesión y el método utilizado, la finalización de la introducción inicial, el fin de un entrenamiento (con su duración, número de ejercicios y número de series), la apertura del muro de pago (y desde dónde), la apertura de un enlace de HelAI (el enlace y sus etiquetas de campaña), el toque sobre la racha en la pantalla de inicio, la apertura del vídeo de técnica de un ejercicio, la solicitud de entrenamiento con IA para un ejercicio (Sección 3.13) y sus decisiones sobre consentimiento y seguimiento
• Su identificador de cuenta — mientras el consentimiento de Analítica esté activado y haya iniciado sesión, su UID de Firebase se establece como el ID de usuario de Google Analytics, de modo que los eventos anteriores quedan vinculados a su cuenta. Este identificador es seudónimo: no es su nombre ni su dirección de correo electrónico.
• Un atributo de la cuenta — si la cuenta tiene una suscripción HelAI Pro activa
• El ID de instancia de la aplicación — un identificador que Google Analytics asigna a esta instalación de la aplicación. Con el consentimiento de Analítica, también lo guardamos en su registro de cliente de RevenueCat (como el atributo $firebaseAppInstanceId, Sección 7), para que RevenueCat pueda informar de sus compras y renovaciones a Google Analytics desde sus servidores.
• Información del dispositivo y ubicación aproximada — modelo del dispositivo, sistema operativo, versión de la aplicación, idioma y una ubicación aproximada (como el país y la región) que Google deduce de su dirección IP. No recopilamos la ubicación precisa.

A través de la analítica no recopilamos sus notas ni sus métricas de salud. Los nombres de los ejercicios que realiza no se envían; cuando abre el vídeo de técnica de un ejercicio o solicita entrenamiento con IA para él, el evento lleva el identificador de catálogo de ese ejercicio.

Sin identificador publicitario en Analítica. Google Analytics en HelAI no recopila el identificador publicitario del dispositivo en ninguna plataforma: en Android, la recopilación del ID de publicidad está desactivada, y la aplicación de iOS incluye Google Analytics sin el componente que lee el IDFA, con la recopilación del identificador para proveedores (IDFV) también desactivada. Las señales publicitarias de Google (ad_storage, ad_user_data, ad_personalization) están denegadas de forma predeterminada, por lo que los datos analíticos no se usan para publicidad ni para personalizar anuncios. La aplicación no muestra anuncios.

Si ha otorgado el consentimiento de Marketing (y, en iOS, ha permitido el seguimiento), los nombres de estos eventos también se envían a AppsFlyer para poder atribuir un registro o una compra a una campaña (Sección 3.7). Su contenido no: AppsFlyer sabe que se completó un entrenamiento, pero nunca cuánto duró ni en qué consistió.

Estos datos se recopilan a través de Firebase Analytics para mejorar el Servicio. Forman parte de la categoría de consentimiento «Analítica», que está desactivada de forma predeterminada, y solo se recopilan si usted la acepta en la pantalla de consentimiento de la aplicación. La recopilación de Analítica está desactivada al iniciar la aplicación hasta que otorgue su consentimiento, y puede retirarlo en cualquier momento. En iOS, su respuesta al aviso App Tracking Transparency de Apple no afecta a Analítica: esta sigue únicamente su elección de Analítica.

Cuando desactiva Analítica en Perfil → Consentimiento de privacidad, la recopilación se detiene, los identificadores analíticos de su dispositivo se restablecen (si más adelante vuelve a activar Analítica, la aplicación obtiene un nuevo ID de instancia y su historial no se une al anterior) y la aplicación elimina $firebaseAppInstanceId de su registro de RevenueCat. Los eventos ya recopilados permanecen en Google Analytics durante el período de conservación de la Sección 8, salvo que nos pida eliminarlos (Sección 10).

3.7 Datos de marketing y atribución

Para saber qué campaña de marketing o referencia le trajo a HelAI (y así medir y mejorar nuestro marketing), utilizamos AppsFlyer, un servicio de atribución móvil:

• Datos de instalación y atribución — origen de la instalación, identificador de campaña y eventos de reinteracción
• Un identificador de atribución — un identificador que AppsFlyer crea para esta instalación y guarda en su dispositivo (el ID de AppsFlyer). Es un identificador seudónimo, no anónimo.
• El identificador publicitario del dispositivo, cuando está permitido — en Android, el ID de publicidad (salvo que lo haya eliminado o limitado en los ajustes del dispositivo); en iOS, el IDFA, solo si permite el seguimiento en el aviso App Tracking Transparency
• Su identificador de cuenta — su UID de Firebase, establecido como el ID de usuario de cliente de AppsFlyer
• Los nombres de los eventos dentro de la aplicación — por ejemplo, que inició sesión, terminó la introducción inicial o completó un entrenamiento (Sección 3.6). Solo se envía el nombre del evento, nunca sus detalles ni parámetros.
• Un token de atribución de Apple Search Ads (solo iOS) — un token que proporciona el framework AdServices de Apple. La aplicación pide al SDK de RevenueCat que lo recopile y lo envíe a RevenueCat, que lo utiliza para atribuir su instalación o compra a una campaña de Apple Search Ads. Solo se recopila si ha otorgado el consentimiento de Marketing y ha permitido el seguimiento en el aviso App Tracking Transparency. La aplicación de Android no lo recopila.

Forma parte de la categoría de consentimiento «Marketing». Está desactivada de forma predeterminada y solo se utiliza si usted la acepta en la pantalla de consentimiento. AppsFlyer se inicializa pero no recopila ni envía ningún dato hasta que otorgue su consentimiento de Marketing. Con el consentimiento de Marketing, el ID de AppsFlyer y los identificadores del dispositivo también se guardan en su registro de RevenueCat para poder atribuir una compra de Pro a una campaña (Sección 7). En iOS, con el consentimiento de Marketing y el permiso ATT, RevenueCat recibe además el token de atribución de Apple Search Ads descrito arriba (Sección 7). Si desactiva Marketing, la aplicación deja de recopilar el token; la aplicación no puede retirar un token ya enviado a RevenueCat, y lo eliminamos a petición suya (Sección 9). No mostramos publicidad dentro de la aplicación ni usamos estos datos para elaboración de perfiles ni para crear audiencias publicitarias. Se utilizan únicamente para atribuir instalaciones y compras a campañas.

App Tracking Transparency (iOS): en iOS, Marketing exige además su permiso mediante el aviso App Tracking Transparency (ATT) de Apple. El aviso solo pide permitirnos ver qué campaña publicitaria le trajo a HelAI; la aplicación no muestra anuncios y no personaliza nada. Si rechaza el seguimiento, AppsFlyer no se iniciará y la aplicación no recopilará el token de atribución de Apple Search Ads, aunque haya activado la categoría «Marketing»: su elección a nivel de sistema siempre prevalece. La respuesta al aviso ATT afecta únicamente a Marketing: Analítica y Diagnóstico siguen solo sus propias elecciones de consentimiento, porque solo el tratamiento de Marketing (AppsFlyer y la copia que RevenueCat conserva para la atribución, Sección 7) puede leer el IDFA o recopilar el token de atribución de Apple Search Ads.

3.8 Datos de dispositivo portátil

Eventos de entrenamiento intercambiados a través de Bluetooth Low Energy con su reloj Garmin. No se transmiten datos a los servidores de Garmin.

3.9 Datos del sitio web

Preferencia de idioma: forma parte de la dirección de la página (por ejemplo, /es/) y, en su defecto, se deduce del idioma de su navegador. No almacenamos nada en su dispositivo para ello y no se comparte con nadie.

Formulario de contacto: nombre, correo electrónico, asunto y mensaje.

Dirección IP: al enviar el formulario de contacto, su dirección IP se utiliza para limitar la frecuencia de envíos (un máximo de 3 cada 15 minutos), se transmite a Cloudflare Turnstile para la verificación antibots y se incluye en el correo de soporte que recibimos, con el fin de poder rastrear posibles abusos.

3.10 Datos de suscripción y compras

Si adquiere HelAI Pro, nuestro procesador de suscripciones RevenueCat recibe de Apple o Google el identificador del producto adquirido, las fechas de compra y de vencimiento, el identificador de transacción de la tienda y el estado de su suscripción, vinculados a su identificador de usuario de Firebase. Nunca vemos ni almacenamos los datos de su tarjeta de pago: el cobro lo gestionan las tiendas de aplicaciones. Con el consentimiento de Analítica, su registro de RevenueCat también contiene el ID de instancia de la aplicación de Google Analytics (Sección 3.6); con el consentimiento de Marketing, el ID de AppsFlyer y los identificadores del dispositivo indicados en la Sección 7 y, en iOS, si además permite el seguimiento en el aviso ATT, un token de atribución de Apple Search Ads (Sección 3.7).

3.11 Tokens de notificaciones push

Si permite las notificaciones, Firebase Cloud Messaging asigna a su instalación de la aplicación un token push que utilizamos para enviarle recordatorios de entrenamiento y avisos. El token no está vinculado a la publicidad ni se comparte con ningún tercero. Al igual que Remote Config, Cloud Messaging se apoya en el ID de instalación de Firebase, un identificador seudónimo de la instalación de su aplicación (Sección 7).

3.12 Opiniones que nos envía

Si valora la aplicación desde el aviso integrado, recibimos su puntuación en estrellas y, si lo escribe, su comentario, junto con la versión de su aplicación, su plataforma y su idioma. Todo ello se guarda en nuestro backend bajo su identificador de cuenta, para poder dar seguimiento a lo que nos escribió. Esto se aplica tanto a las cuentas gratuitas como a las Pro. Si prefiere no ser identificado, escríbanos en su lugar a [email protected].

3.13 Solicitudes de entrenamiento con IA para un ejercicio

Cuando un ejercicio aún no es compatible con el entrenador de IA, la aplicación ofrece un botón «Solicitar IA para este ejercicio». Si lo pulsa, guardamos qué ejercicio pidió (su identificador de catálogo y su código), junto con su identificador de cuenta, la versión de su aplicación, su plataforma y su idioma, si la solicitud procede de una compilación de prueba de la aplicación y la hora de la primera solicitud. Se conserva un registro por cuenta y ejercicio. Usamos estos registros para contar la demanda y decidir qué ejercicios debe admitir el entrenador de IA a continuación; la aplicación también recuerda en su dispositivo que ya lo solicitó. Los registros se almacenan en Firebase Data Connect en la UE (Sección 6), se aplican por igual a cuentas gratuitas y Pro, y se conservan hasta que elimine su cuenta o nos pida suprimir sus datos (Sección 8). Si ha otorgado el consentimiento de Analítica, la solicitud también se contabiliza como un evento analítico (Sección 3.6).

4. Cómo usamos su información

• Prestación del Servicio: autenticación y, con HelAI Pro, copia de seguridad y sincronización de sus datos de entrenamiento entre dispositivos
• Funciones de IA: detección de ejercicios y retroalimentación de forma en el dispositivo
• Seguimiento del progreso: récords personales, objetivos y análisis
• Diagnóstico: informes de fallos y datos técnicos (con su consentimiento)
• Mejora del Servicio: análisis de uso —vistas de pantalla y eventos de producto vinculados a su identificador de cuenta, el ID de instancia de la aplicación y la ubicación aproximada— (con su consentimiento, Sección 3.6)
• Marketing: medición de la eficacia de las campañas mediante datos de atribución, el ID de AppsFlyer, el identificador publicitario del dispositivo cuando está permitido, el token de atribución de Apple Search Ads (solo iOS), su identificador de cuenta y los nombres de los eventos (con su consentimiento, Sección 3.7)
• Suscripciones: gestión de su suscripción a HelAI Pro y desbloqueo de las funciones de pago (datos de compra y suscripción, Sección 3.10)
• Notificaciones: envío de los recordatorios de entrenamiento y avisos que usted haya aceptado
• Soporte: respuestas a formularios de contacto y a las opiniones enviadas desde la aplicación, y prevención de abusos del formulario (dirección IP)
• Hoja de ruta de IA: decidir qué ejercicios debe admitir el entrenador de IA a continuación, a partir de las solicitudes «Solicitar IA para este ejercicio» (Sección 3.13)
• Obligaciones legales: cumplimiento de la legislación aplicable

5. Bases legales del tratamiento

Gestión del consentimiento: al iniciar la aplicación por primera vez, mostramos una pantalla de consentimiento donde puede aceptar todo, rechazar todo lo opcional o personalizar cada categoría. Las tres categorías opcionales — Analítica, Diagnóstico y Marketing — están desactivadas de forma predeterminada; la categoría Necesaria (autenticación, compras, notificaciones y sincronización en la nube) es siempre imprescindible. Puede cambiar su elección en cualquier momento en Perfil → Consentimiento de privacidad. Hasta que elija, toda la recopilación opcional permanece desactivada. En iOS, la categoría Marketing depende además de su respuesta al aviso App Tracking Transparency de Apple: si rechaza el seguimiento, la atribución de marketing permanece desactivada aunque el interruptor de la aplicación esté activado. La respuesta ATT afecta solo a Marketing; Analítica y Diagnóstico siguen únicamente sus elecciones en la pantalla de consentimiento.

Cuando cambiamos lo que cubre una categoría opcional, la aplicación vuelve a preguntarle. Una elección que hizo con una versión anterior de la pantalla de consentimiento se trata entonces como «todas las categorías opcionales desactivadas» hasta que responda de nuevo. Con la versión 1.3 de esta política, la aplicación vuelve a preguntar a todos los usuarios (versión de consentimiento 2), porque la pantalla de consentimiento ahora indica que Analítica está vinculada a su identificador de cuenta y enumera todo lo que comparte Marketing; desde el momento en que la aplicación aplica sus elecciones al iniciarse, antes de que aparezca la pantalla de consentimiento, y hasta que responda, Analítica, Diagnóstico y Marketing permanecen desactivados.

6. Almacenamiento y seguridad de datos

• Almacenamiento local: base de datos SQLite cifrada (SQLCipher, AES-256)
• Almacenamiento en la nube: Firebase / Google Cloud Platform, región europe-southwest1 (España). Allí se guardan también los datos de entrenamiento sincronizados de HelAI Pro y las opiniones y solicitudes «Solicitar IA para este ejercicio» que usted envía (Secciones 3.12 y 3.13)
• Datos de salud: solo en el dispositivo, nunca en la nube

Seguridad

HelAI está creado y gestionado por una sola persona. No hay equipo de seguridad, y ni la aplicación ni este servicio han sido auditados ni certificados por nadie. Estas son las medidas que existen realmente:

• En tránsito: TLS entre la aplicación y los puntos de acceso de Firebase de Google.
• En su dispositivo: la base de datos local está cifrada con SQLCipher (AES-256).
• En nuestro backend: los datos residen en Google Cloud (España) bajo el cifrado en reposo del propio Google. Cada solicitud lleva su token de autenticación y las reglas del lado del servidor limitan cada cuenta a sus propios registros.
• Quién puede acceder: únicamente el operador, a través de las consolas de Google Cloud, Firebase y RevenueCat, con la autenticación en dos pasos activada.
• Minimización de datos: los datos de la plataforma de salud, los fotogramas de la cámara y los datos de entrenamiento de la versión gratuita no llegan en absoluto a nuestros servidores.

Ningún método de transmisión o almacenamiento es completamente seguro. Si se produce una brecha que probablemente ponga en riesgo sus derechos, se lo notificaremos a usted y a la autoridad competente, como exige la ley.

7. Compartición de datos y terceros

No vendemos sus datos. Solo los compartimos con:

No mostramos publicidad dentro de la aplicación ni usamos redes publicitarias. Nuestros procesadores relacionados con marketing son AppsFlyer y, para el token de atribución de Apple Search Ads en iOS, RevenueCat, utilizados exclusivamente para la atribución de instalaciones y compras y solo con su consentimiento. No usamos los datos analíticos para publicidad: Google Analytics en HelAI no recopila ningún identificador publicitario y las señales publicitarias de Google están denegadas de forma predeterminada (Sección 3.6). Sin intermediarios de datos, sin venta de datos.

Vinculación de identificadores y retirada del consentimiento. Con el consentimiento de Marketing, el ID de AppsFlyer se guarda como el atributo $appsflyerId de su registro de suscriptor de RevenueCat, para que una compra de Pro pueda atribuirse a la campaña que le trajo aquí; junto con él, el SDK de RevenueCat recopila el identificador publicitario del dispositivo (ID de publicidad de Android; en iOS, el IDFA solo si permite el seguimiento en el aviso ATT) y, en iOS, el IDFV, y RevenueCat registra la dirección IP de la solicitud. En iOS, con el consentimiento de Marketing y el permiso de seguimiento ATT, la aplicación pide además al SDK de RevenueCat que recopile el token de atribución que proporciona el framework AdServices de Apple y lo envíe a RevenueCat, que lo utiliza para atribuir su instalación o compra a una campaña de Apple Search Ads; la aplicación de Android no lo recopila. Con el consentimiento de Analítica, RevenueCat usa el ID de instancia de la aplicación para enviar sus eventos de compra y renovación a Google Analytics desde sus servidores, y con el de Marketing usa el ID de AppsFlyer para informar de las compras a AppsFlyer. Sin el consentimiento de Marketing ninguno de estos identificadores ni ningún token de atribución de Apple Search Ads se envía a RevenueCat. Al retirar el consentimiento de Marketing, AppsFlyer se detiene, cesa la recopilación del token de atribución de Apple Search Ads y la aplicación pide a RevenueCat que elimine $appsflyerId, el identificador publicitario y el IDFV de su registro. La aplicación no puede retirar un token de atribución de Apple Search Ads ya enviado ni elimina el registro de la dirección IP en RevenueCat; los eliminamos, junto con cualquier identificador que permanezca allí, a petición suya (Sección 9). Al retirar el consentimiento de Analítica, la aplicación elimina $firebaseAppInstanceId de su registro.

8. Conservación de datos

9. Sus derechos

• Derecho de acceso: obtener una copia de sus datos
• Derecho de rectificación: corregir datos inexactos
• Derecho de supresión: eliminar todos sus datos personales
• Portabilidad de datos: recibir sus datos en formato legible por máquina
• Derecho de oposición: oponerse al tratamiento basado en interés legítimo
• Derecho a la limitación: limitar el tratamiento de sus datos
• Retirada del consentimiento: revocar en cualquier momento el consentimiento de Analítica, Diagnóstico, Marketing y datos de salud

Para ejercer sus derechos: escriba a [email protected]. En la aplicación, vaya a Perfil → Consentimiento de privacidad para activar o desactivar las categorías Analítica, Diagnóstico y Marketing en cualquier momento, o rechazar toda la recopilación opcional.
Plazo de respuesta: en un plazo de 30 días.

10. Eliminación de cuenta y datos

Cómo funciona realmente. La aplicación no elimina la cuenta por sí misma: abre un formulario de solicitud y el operador lleva a cabo la eliminación a mano. Por eso tarda hasta 30 días en lugar de ser instantánea. Recibirá una confirmación cuando esté hecha.

Método 1: En la aplicación

1. Abra la aplicación HelAI y vaya a Perfil
2. Pulse Eliminar cuenta y confirme
3. La aplicación abrirá nuestra página de solicitud de eliminación en helai.app/support#deletion
4. Envíe el formulario utilizando la dirección de correo electrónico de su cuenta

Método 2: Por correo electrónico

Envíe una solicitud a [email protected] con la dirección de correo electrónico de su cuenta.

Lo que se elimina al eliminar la cuenta o ante una solicitud de supresión, en un plazo de 30 días: la cuenta de Firebase (credenciales de autenticación, correo electrónico, nombre); los datos de entrenamiento sincronizados en la nube; nuestra copia de sus eventos de suscripción en Cloud Firestore; las opiniones que nos haya enviado desde el aviso de valoración (Sección 3.12) y sus solicitudes «Solicitar IA para este ejercicio» (Sección 3.13); los datos de salud (automáticamente al desinstalar); su registro de suscriptor en RevenueCat; y los datos analíticos y de atribución: pedimos a Google Analytics que elimine los datos vinculados a su ID de usuario y a su ID de instancia de la aplicación, y a AppsFlyer que elimine los datos vinculados a su ID de AppsFlyer. Los informes de fallos no están vinculados a su cuenta, por lo que no pueden localizarse a partir de ella; caducan a los 90 días (Sección 8).

Datos locales: todo lo que hay en su dispositivo se borra en cuanto cierra sesión o desinstala la aplicación. Para esa parte no necesita esperarnos.

La eliminación de la cuenta no cancela la facturación: una suscripción activa debe cancelarse por separado en App Store o Google Play; de lo contrario, seguirá renovándose. Apple y Google conservan su propio registro de la compra conforme a sus propias políticas, y nosotros no podemos eliminarlo.

Plazo de procesamiento: en un plazo de 30 días. La eliminación es irreversible.

11. Privacidad de los niños

El Servicio es solo para adultos: debe tener al menos 18 años para usarlo. No está dirigido a menores y no recopilamos conscientemente datos personales de personas menores de 18 años. No verificamos la edad. Si detectamos que una cuenta pertenece a una persona menor de 18 años, eliminaremos la cuenta y sus datos. Padres y tutores pueden escribirnos a [email protected].

12. Transferencias internacionales de datos

• Operador: República de Kazajistán
• Procesamiento: Google Cloud Platform, región europe-southwest1 (UE/España)
• Estados Unidos: RevenueCat, Inc. (registros de suscripción) y Resend, Inc. (entrega del correo de soporte)
• Transferencias a Google LLC: cubiertas por las cláusulas contractuales estándar incorporadas al anexo de tratamiento de datos de Google Cloud
• Condiciones de tratamiento: se aplican las condiciones de tratamiento de datos de cada procesador (acuerdos de Google Cloud, AppsFlyer, RevenueCat, Resend, Cloudflare y DigitalOcean), incluidas las cláusulas contractuales estándar cuando los datos salen del EEE
• Principio de transferencia mínima: los datos de la plataforma de salud y los de la cámara nunca salen de su dispositivo. Los datos de entrenamiento de la versión gratuita también permanecen en el dispositivo. Para los suscriptores de HelAI Pro, los datos de entrenamiento se almacenan en Google Cloud en España (UE)

HelAI se opera desde la República de Kazajistán, a la que la Comisión Europea no ha reconocido un nivel de protección adecuado. Aun así, el RGPD se aplica a este tratamiento en virtud de su artículo 3, apartado 2, y nos vincula directamente. Sus datos residen en Google Cloud en España; el acceso del operador desde Kazajistán está sujeto a los compromisos de esta política.

13. Cookies y seguimiento en el sitio web

• Preferencia de idioma: forma parte de la dirección de la página (por ejemplo, /es/) y, en su defecto, se deduce del idioma de su navegador. No se almacena nada en su dispositivo para ello y no se comparte con nadie
• Sin cookies de seguimiento, sin cookies de terceros
• Cloudflare Turnstile: solo verificación de seguridad; Cloudflare recibe su dirección IP como parte de esta comprobación, sin seguimiento de usuarios ni elaboración de perfiles
• Sin retargeting, sin píxeles de seguimiento, sin rastreadores de redes sociales

14. Cambios en esta política

Los cambios importantes se comunicarán a través de una notificación en la aplicación. La fecha de «Última actualización» se actualizará. Cuando un cambio afecta a lo que cubre una categoría de consentimiento opcional (Analítica, Diagnóstico o Marketing), la aplicación también vuelve a pedirle su consentimiento y, desde el momento en que la aplicación aplica sus elecciones al iniciarse y hasta que responda, todo el tratamiento opcional permanece desactivado (Sección 5, «Gestión del consentimiento»). La versión 1.3 es uno de esos cambios: indica que Analítica está vinculada a su identificador de cuenta y enumera todo lo que se comparte con Marketing, por lo que la aplicación vuelve a pedir el consentimiento a todos los usuarios (versión de consentimiento 2). El uso continuado tras la fecha de entrada en vigencia implica aceptación.

15. Contacto

Consultas de privacidad: [email protected]
Soporte general: [email protected]
Tiempo de respuesta: HelAI lo gestiona una sola persona, así que las respuestas no son inmediatas. Contestamos lo antes posible, normalmente en unos pocos días; las solicitudes relativas a sus datos personales se atienden en un plazo de 30 días, conforme exige la ley

Anexos regionales

Anexo A: Espacio Económico Europeo, Reino Unido y Suiza

Bases legales RGPD (Art. 6 y Art. 9): ver Sección 5 para la tabla detallada. La Analítica, el Diagnóstico y el Marketing se tratan sobre la base de su consentimiento (Art. 6(1)(a)); están desactivados de forma predeterminada y puede retirarlos en cualquier momento en Perfil → Consentimiento de privacidad. En iOS, la atribución de marketing depende además del aviso App Tracking Transparency de Apple; ese aviso no afecta a la Analítica ni al Diagnóstico.

Sus derechos bajo el RGPD incluyen los derechos de los Arts. 15 a 22: acceso, rectificación, supresión, limitación, portabilidad, oposición y derecho a no ser objeto de decisiones automatizadas.

Derecho de reclamación: tiene derecho a presentar una reclamación ante la autoridad de control competente (por ejemplo, AEPD en España, CNIL en Francia, ICO en el Reino Unido).

Evaluación de riesgos de privacidad: evaluamos los riesgos para la privacidad que conllevan el tratamiento de datos de salud y la detección de poses, y aplicamos la minimización de datos y el procesamiento en el dispositivo: las métricas de salud y los fotogramas de la cámara nunca salen de su dispositivo.

Transferencias transfronterizas: HelAI se opera desde la República de Kazajistán, a la que la Comisión Europea no ha reconocido un nivel de protección adecuado. Aun así, el RGPD se aplica a este tratamiento en virtud de su artículo 3, apartado 2, y nos vincula directamente. Sus datos residen en Google Cloud en España; el acceso del operador desde Kazajistán está sujeto a los compromisos de esta política. Las transferencias a Google LLC están cubiertas por las cláusulas contractuales estándar de la UE incorporadas al anexo de tratamiento de datos de Google Cloud.

Anexo B: Estados Unidos y Canadá

CCPA/CPRA (California): no vendemos ni compartimos sus datos personales en el sentido del CCPA. Tiene derecho a saber, eliminar, corregir y rechazar el uso de información personal sensible. Envíe solicitudes a [email protected]. No vendemos ni compartimos información personal y no hemos vendido ni compartido información personal en los últimos 12 meses; los datos analíticos y de atribución solo se recopilan con su consentimiento. Categorías que recopilamos: identificadores (correo electrónico, UID, nombre, ID de instalación de Firebase; con consentimiento, el ID de instancia de la aplicación, el ID de AppsFlyer, el identificador publicitario del dispositivo y, solo en iOS, el token de atribución de Apple Search Ads); actividad en internet (vistas de pantalla y eventos de producto vinculados a su identificador de cuenta, con consentimiento; nombres de eventos para AppsFlyer, con consentimiento de Marketing); información comercial (historial de compras y suscripciones en RevenueCat); y geolocalización aproximada únicamente (país y región, que Google deduce de su dirección IP, con consentimiento de Analítica), sin geolocalización precisa.

Washington, Nevada y Connecticut: si reside en el estado de Washington, en Nevada o en Connecticut, sus datos relacionados con la salud están cubiertos por un documento aparte, como exigen esas leyes: Aviso de privacidad de datos de salud del consumidor. Describe exactamente qué datos de salud conserva HelAI, adónde van y qué derechos tiene sobre ellos, incluido el derecho a que se eliminen. No compartimos datos de salud con terceros (Sección 7). La única parte que maneja alguno de ellos es Google, como nuestro procesador que almacena la copia de Pro en la nube de los datos de entrenamiento, y una solicitud de eliminación suprime esa copia (Sección 10).

PIPEDA (Canadá): el tratamiento se basa en un «propósito razonable» con consentimiento explícito para datos de salud. Ley 25 (Quebec): evaluamos los riesgos para la privacidad que conllevan el tratamiento de datos de salud y la detección de poses, y aplicamos la minimización de datos y el procesamiento en el dispositivo (las métricas de salud y los fotogramas de la cámara nunca salen de su dispositivo); política de privacidad disponible en francés en /fr/privacy.

Anexo C: Brasil

El tratamiento de datos personales de usuarios brasileños se realiza de conformidad con la Lei Geral de Proteção de Dados (LGPD).

Sus derechos (LGPD Art. 18): confirmación, acceso, corrección, anonimización, bloqueo, eliminación, portabilidad, información sobre el intercambio, revocación del consentimiento.

Encarregado (punto de contacto conforme a la LGPD brasileña): Konstantin Yeftifeyev — [email protected]

Esta política de privacidad en portugués constituye el aviso de privacidad LGPD requerido.

Anexo D: Latinoamérica — México y Argentina

México (LFPDPPP): esta política de privacidad sirve como Aviso de Privacidad. Los derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) se ejercen a través de [email protected]. Los datos de salud se tratan con consentimiento expreso.

Edad: el Servicio es solo para adultos: debe tener 18 años o más para usarlo, en México como en cualquier otro lugar (Sección 11).

Argentina (Ley 25.326): los derechos de acceso, rectificación y supresión se ejercen a través de [email protected]. Las transferencias se realizan con consentimiento.

Anexo E: Kazajistán

Esta es nuestra jurisdicción de origen. El tratamiento se rige por la Ley de la República de Kazajistán n.º 94-V sobre datos personales y su protección. Los datos de salud son datos personales de acceso restringido y solo se tratan con tu consentimiento explícito. Derechos: acceso, rectificación, supresión y retirada del consentimiento — [email protected].

Anexo F: Otros países

HelAI está disponible en muchos más países. Vivas donde vivas, se aplican los compromisos del cuerpo de esta política: solo recopilamos lo descrito en la sección 3, lo usamos solo para los fines de la sección 4, lo compartimos solo con los encargados nombrados en la sección 7, y puedes ejercer los derechos de la sección 9 escribiendo a [email protected]. Si tu ley nacional te concede más derechos, esos derechos se aplican y los respetamos. No publicamos una sección por país: preferimos describir lo que realmente hacemos antes que enumerar leyes que una sola persona no puede administrar país por país.

Japón (APPI): los datos personales se transfieren a la República de Kazajistán, que no dispone de una protección equivalente a la APPI. La transferencia se realiza con su consentimiento explícito al crear la cuenta. Derechos: divulgación, corrección, cese del uso, supresión — envíe solicitudes a [email protected]. Corea del Sur (PIPA): se obtiene consentimiento separado para el tratamiento de datos de salud. Transferencia transfronteriza: datos procesados por Google Cloud (UE) y por el operador en Kazajistán. Derechos: acceso, corrección, supresión, suspensión del tratamiento. Responsable de protección de datos personales: Konstantin Yeftifeyev. India (DPDPA): el Servicio es solo para mayores de 18 años (Sección 11). Derechos: acceso, corrección, supresión, recurso. Indonesia (Ley PDP): el Servicio es solo para mayores de 18 años (Sección 11). Los datos sensibles (salud) se tratan con consentimiento explícito. Derechos: acceso, corrección, supresión, revocación del consentimiento. Rusia (Ley Federal n.° 152-FZ): los datos personales se tratan fuera de la Federación de Rusia (Google Cloud, servidores UE). La creación de cuenta implica consentimiento a la transferencia internacional según el Art. 12. Derechos: acceso, corrección, bloqueo, supresión, revocación del consentimiento. Kazajistán (Ley n.° 94-V): jurisdicción de origen del operador. Los datos de salud se clasifican como «datos de acceso restringido» y se tratan con consentimiento explícito. Derechos: acceso, corrección, supresión, revocación del consentimiento. Uzbekistán (Ley sobre datos personales 2019): el tratamiento se realiza con consentimiento. Derechos: acceso, corrección, supresión, revocación del consentimiento. Sudáfrica (POPIA): consentimiento obtenido para información personal especial (salud). El Servicio es solo para mayores de 18 años (Sección 11). Nigeria (NDPR/NDPA): evaluamos los riesgos para la privacidad del tratamiento de datos de salud y aplicamos la minimización de datos y el procesamiento en el dispositivo: las métricas de salud nunca salen de su dispositivo. Tratamiento basado en consentimiento. Kenia (DPA 2019): derechos de los interesados según la Sección 26. El Servicio es solo para mayores de 18 años (Sección 11). Egipto (Ley 151/2020): datos sensibles tratados con consentimiento explícito. Esta política de privacidad fue actualizada por última vez el 14 de octubre de 2026. HelAI es operado por Konstantin Yeftifeyev, República de Kazajistán.