Durante la beta recogemos únicamente los datos imprescindibles para que la app funcione:

• Datos de solicitud: nombre, email, teléfono (opcional), Instagram/TikTok (opcional), mensaje de interés.
• Datos de perfil: edad, altura, peso, sexo biológico, nivel de entrenamiento, objetivos, lesiones, preferencias alimentarias.
• Datos de uso: planes generados, sesiones completadas, mensajes al chat, comidas registradas.
• Datos de dispositivos conectados: si vinculas Garmin/Strava/Withings, recibimos tus actividades y peso corporal.
• Datos técnicos: logs de errores, IP, navegador (para detectar bugs).

• Generar tu plan de entrenamiento y nutrición personalizado con IA.
• Ajustar el plan según tu progreso y check-ins semanales.
• Enviarte el plan por email y recordatorios opcionales.
• Monitorizar el rendimiento de la beta (qué funciona, qué no) con métricas agregadas.
• Contactar contigo durante la beta para recoger feedback.

NUNCA venderemos tus datos a terceros. NUNCA.

• Encriptación en reposo: Base de datos Supabase con cifrado AES-256 automático.
• Encriptación en tránsito: HTTPS/TLS 1.3 en todas las conexiones.
• Row Level Security (RLS): Cada usuario solo puede leer sus propios datos. Es imposible que un tester vea los datos de otro.
• Autenticación con 2FA en el panel admin: Código por email de 6 dígitos, sesión de 2h máx.
• Rate limiting: Protección contra abuso y ataques automatizados.
• Service keys protegidas: Las claves de administración nunca se exponen en el navegador.
• Cookies httpOnly: La sesión de admin no es accesible por JavaScript (protección XSS).

Solo con los proveedores técnicos estrictamente necesarios:

• Supabase (PostgreSQL, almacenamiento): cumple SOC 2 Type II, GDPR.
• Vercel (hosting): cumple SOC 2, GDPR.
• Anthropic (IA Claude): tu contexto se envía para generar planes. Anthropic no entrena modelos con datos de API.
• Resend (envío de emails): cumple GDPR.
• Garmin / Strava / Withings: solo si conectas tus cuentas, y solo datos de actividad.

Ningún dato se comparte con anunciantes, redes sociales o terceros con fines comerciales.

• Durante la beta: mientras seas tester activo.
• Al graduarte a producción: migramos tus datos a tu cuenta con el año gratis aplicado.
• Si cierras la cuenta: borrado completo en máximo 30 días.
• Backups: máximo 30 días adicionales por motivos técnicos.

Tienes derecho en todo momento a:

• Acceso: pedirnos una copia de todos tus datos.
• Rectificación: corregir datos incorrectos.
• Borrado: eliminar tu cuenta y todos tus datos.
• Portabilidad: descargar tus datos en JSON.
• Oposición: oponerte al procesamiento de tus datos.

Responsable del tratamiento: Bercay Studio
Email: aitorberrocal13@gmail.com

Este documento se aplica únicamente a la beta cerrada v1 de TÖCA. Cuando lancemos a producción, será reemplazado por la política de privacidad completa.