Política de Privacidad

Versión 1.0 · en vigor desde el 5 de septiembre de 2026

Esta Política explica cómo se tratan los datos personales en la aplicación Trexana y en el sitio web trexana.app: qué datos se recogen, con qué base jurídica, con qué finalidades, con quién se comparten, cuánto tiempo se conservan y qué derechos te corresponden. Está redactada conforme a la Ley de Georgia de Protección de Datos Personales (en vigor desde el 1 de marzo de 2024), el Reglamento General de Protección de Datos de la UE (RGPD), la Ley General de Protección de Datos de Brasil (LGPD) y, en lo que resulte aplicable, la Ley de Privacidad del Consumidor de California en su versión modificada (CCPA/CPRA).

1. Quién es responsable del tratamiento

El responsable del tratamiento (en términos de la LGPD, el controlador) es el titular del servicio Trexana: un empresario individual registrado en Georgia, Tiflis. Los datos completos de registro, incluidos la denominación y el domicilio registrado, se facilitan previa solicitud por escrito a privacy@trexana.app.

No se ha designado un delegado de protección de datos independiente: el volumen del tratamiento no alcanza los umbrales que obligan a designarlo. La responsabilidad en materia de protección de datos, incluida la función de encarregado del artículo 41 de la LGPD, corresponde al titular del servicio. Dirige cualquier consulta sobre datos personales a privacy@trexana.app; respondemos en los plazos indicados en el apartado 14.

2. Ámbito de aplicación de esta Política

Esta Política se aplica a la aplicación móvil Trexana y al sitio web trexana.app. No se aplica al tratamiento realizado por las tiendas de aplicaciones (Google Play, App Store) —al descargar la aplicación y al comprar una suscripción actúan como responsables independientes conforme a sus propias políticas— ni a los servicios de terceros a los que decidas enviar contenido creado en la aplicación (por ejemplo, una aplicación de mensajería a la que compartas una tarjeta de entrenamiento).

El uso de la aplicación requiere una cuenta. Sin cuenta no está disponible el análisis de técnica, por lo que facilitar los datos señalados en el apartado 3 como necesarios para la ejecución del contrato es condición para usar el servicio.

3. Qué datos se tratan en nuestro servidor

La tabla recoge todas las categorías de datos que salen de tu dispositivo hacia nuestro servidor, con su finalidad, base jurídica y plazo de conservación. Las bases jurídicas se citan conforme al RGPD; las bases equivalentes de la LGPD (artículos 7 y 11) y del derecho georgiano se aplican en los mismos términos.

No solicitamos ni almacenamos en el servidor tu altura, peso, fecha de nacimiento, sexo, número de teléfono, datos de pago ni datos de ubicación.

4. Qué se trata únicamente en el dispositivo

Parte de los datos no sale técnicamente del dispositivo: no se envía a nuestro servidor, no la respaldamos y no nos resulta accesible en ninguna forma. Se trata de lo siguiente.

• Vídeo de la cámara y detección de postura. Los fotogramas se procesan localmente mediante una biblioteca de detección de la postura humana. No se transmiten a nuestro servidor imágenes, ni archivos de vídeo, ni las coordenadas fotograma a fotograma de los puntos del cuerpo: solo los resultados numéricos de la serie enumerados en el apartado 3.
• Grabaciones de vídeo de tus series. Se guardan en la memoria del dispositivo para que puedas revisar una repetición y se eliminan junto con los datos de la aplicación.
• Perfil de calibración corporal: las proporciones entre segmentos corporales (por ejemplo, muslo y tronco) con las que se ajustan los umbrales del análisis. Se calcula y se guarda en el dispositivo.
• Respuestas sobre el estado de salud. El cuestionario opcional (embarazo y posparto, dolor lumbar o hernia discal, articulaciones sensibles, limitaciones cardiovasculares o de tensión arterial, lesión reciente, problemas de equilibrio, retorno al entrenamiento tras una pausa) existe únicamente para que la aplicación muestre advertencias antes de los ejercicios de mayor riesgo. Las respuestas se guardan en el dispositivo.
• Foto de perfil. Si eliges un avatar de la galería o lo haces con la cámara, la imagen permanece en el dispositivo; solo se guarda una referencia al archivo local dentro de ese mismo dispositivo.
• Logros, series de días y ajustes de la interfaz (tema, idioma, duración del descanso, recordatorios): se calculan y se guardan localmente.

Biometría. La detección de postura sirve exclusivamente para evaluar la técnica del movimiento. No está destinada ni se utiliza para identificar de manera unívoca a una persona, por lo que los datos tratados no son datos biométricos en el sentido del artículo 4.14 del RGPD. No empleamos reconocimiento facial ni creamos plantillas biométricas.

Compartir resultados. La tarjeta de resultados de un entrenamiento puede guardarse como imagen y enviarse a donde quieras mediante la función de compartir del sistema operativo. Esa transmisión se produce solo por orden tuya, la imagen se genera en el dispositivo y no pasa por nuestro servidor.

5. Permisos del dispositivo

La aplicación solicita los permisos justo antes del primer uso de la función correspondiente. Cualquier permiso puede retirarse en los ajustes del sistema operativo; al retirarlo deja de funcionar esa función y las demás siguen operativas.

6. Qué no hacemos

• No mostramos publicidad ni integramos redes publicitarias.
• No usamos SDK analíticos ni de seguimiento, no recogemos identificadores publicitarios (Google Advertising ID, IDFA) y no aplicamos técnicas de huella digital del dispositivo.
• No recogemos datos de ubicación, listas de contactos, contenido del portapapeles ni la lista de aplicaciones instaladas.
• No vendemos datos personales ni los cedemos para publicidad segmentada. En los últimos doce meses no hemos vendido ni cedido datos personales en el sentido de la CCPA/CPRA, y no tenemos intención de hacerlo.
• No te seguimos en otros sitios web ni en otras aplicaciones.
• No comunicamos datos de salud ni de entrenamiento a terceros con fines de marketing.
• No usamos tus datos para entrenar modelos de aprendizaje automático de uso general. Los algoritmos de evaluación de la técnica son reglas deterministas calibradas a mano; para comprobar esa calibración solo se utilizan estadísticas agregadas anonimizadas (apartado 3).

7. Datos de salud y de actividad física

La información sobre cómo realizas los ejercicios puede, en algunos ordenamientos, encuadrarse en una categoría especial: «datos relativos a la salud» (art. 9 RGPD), «datos personales sensibles» (art. 11 LGPD) e «información personal sensible» (CPRA). Distinguimos dos grupos y los tratamos de forma distinta.

Respuestas sobre el estado de salud. El cuestionario descrito en el apartado 4 se refiere directamente a tu salud. Precisamente por eso es opcional y sus resultados no llegan a nuestro servidor: el tratamiento es local, se basa en tu consentimiento explícito —que otorgas al rellenar el cuestionario— y sirve únicamente para mostrar advertencias antes de los ejercicios. Puedes retirar el consentimiento en cualquier momento desmarcando las casillas en tu perfil; las advertencias dejarán de aparecer.

Resultados de los entrenamientos. Las puntuaciones de técnica, los tipos de error y los ángulos articulares describen la calidad de un movimiento, no un estado de salud: no contienen diagnósticos, síntomas, medidas antropométricas ni parámetros clínicos, y no permiten inferir ninguna enfermedad. Los tratamos sobre la base de la ejecución del contrato y no del consentimiento, porque sin ellos el servicio no puede funcionar. Aun así, les aplicamos las medidas de protección reforzadas propias de las categorías especiales de datos, no los usamos para elaborar perfiles con fines de marketing y no los comunicamos a nadie salvo a los proveedores de infraestructura del apartado 10. Si la ley que te resulte aplicable califica no obstante esta información como datos de salud, la base adicional del tratamiento es tu consentimiento explícito, otorgado al crear la cuenta, que puedes retirar eliminándola.

Trexana no es un producto sanitario y no emite dictámenes médicos. Las condiciones de uso relativas a su salud se recogen en el Aviso de salud; nuestra responsabilidad se rige por las Condiciones de uso.

8. Bases jurídicas, negativa y retirada del consentimiento

Nos basamos en cuatro bases jurídicas, indicadas por categoría en la tabla del apartado 3:

• Ejecución del contrato (art. 6.1.b RGPD; art. 7.V LGPD): funcionamiento de la cuenta, análisis de técnica, historial y estadísticas, acceso a funciones de pago.
• Interés legítimo (art. 6.1.f RGPD; art. 7.IX LGPD): seguridad y protección frente a usos abusivos, diagnóstico de fallos, calibración de los algoritmos con datos anonimizados, defensa de reclamaciones. Hemos ponderado nuestro interés frente a tus derechos y limitado los datos al mínimo necesario para esas finalidades; puedes oponerte a este tratamiento (apartado 14).
• Consentimiento explícito (art. 9.2.a RGPD; art. 11.I LGPD): solo para el cuestionario de salud opcional, tratado en el dispositivo.
• Cumplimiento de obligaciones legales (art. 6.1.c RGPD; art. 7.II LGPD): conservación de la documentación que la ley nos obliga a mantener, por ejemplo a efectos fiscales.

Consecuencias de no facilitar los datos. Los datos de la cuenta y los resultados de las series son necesarios para prestar el servicio: sin ellos no es posible registrarse ni usar el análisis de técnica. Todo lo demás —cuestionario de salud, nombre, foto de perfil, notificaciones, calibración— es opcional, y su omisión limita únicamente la función correspondiente.

Retirada del consentimiento. Puedes retirar el consentimiento en cualquier momento, desde los ajustes de la aplicación o escribiendo a privacy@trexana.app. La retirada no afecta a la licitud del tratamiento realizado antes de recibirla.

9. Tratamiento automatizado y elaboración de perfiles

La evaluación de la técnica, el recuento de repeticiones, la concesión de logros y la asignación de liga se realizan de forma automatizada, según reglas predefinidas. Este tratamiento no constituye una decisión que produzca efectos jurídicos sobre ti o te afecte significativamente de modo similar, en el sentido del artículo 22 del RGPD y del artículo 20 de la LGPD: el resultado es una recomendación de entrenamiento y no incide en tus derechos, en tu acceso al servicio, en las condiciones del contrato ni en el precio. No utilizamos tratamiento automatizado para evaluar tu solvencia, elaborar puntuaciones de riesgo ni tomar ninguna otra decisión sobre ti como persona. Conforme al artículo 20 de la LGPD puedes solicitar la revisión de un resultado automatizado: escríbenos y revisaremos manualmente la serie concreta.

10. Con quién compartimos los datos

No vendemos datos ni los cedemos a redes publicitarias. Solo acceden a ellos los proveedores necesarios para operar el servicio; cada uno actúa como encargado del tratamiento (operador) en virtud de un contrato de encargo, dentro del alcance de nuestras instrucciones y sin derecho a usar los datos para sus propios fines.

También podemos comunicar datos cuando la ley lo exija —ante un requerimiento vinculante de una autoridad competente— o cuando sea necesario para formular, ejercer o defender reclamaciones, o para evitar un riesgo para la vida y la salud. Informamos al interesado de tales requerimientos salvo que la ley lo prohíba.

La lista de proveedores puede cambiar. La lista vigente es siempre la de este apartado; si añadimos un proveedor que acceda a datos de la cuenta o de los entrenamientos, lo anunciaremos según el apartado 19.

11. Transferencias internacionales de datos

Los datos de los usuarios se alojan en servidores situados en los Países Bajos, es decir, dentro del Espacio Económico Europeo. El responsable está registrado en Georgia y accede a los datos desde fuera del EEE; algunos proveedores auxiliares se encuentran en Estados Unidos.

• Usuarios del EEE y Suiza. El almacenamiento principal —la base de datos y los archivos del servicio— se encuentra en los Países Bajos, de modo que para ese tratamiento los datos no salen del EEE. No obstante, el responsable accede a los datos desde un país fuera del EEE respecto del cual la Comisión Europea no ha adoptado una decisión de adecuación. En la medida en que dicho acceso constituya una transferencia en el sentido del capítulo V del RGPD, se realiza con arreglo a las cláusulas contractuales tipo adoptadas por la Comisión Europea (artículo 46(2)(c) del RGPD), complementadas con una evaluación de los riesgos de la transferencia y medidas técnicas: cifrado del canal y restricción de accesos. Las transferencias a determinados proveedores en Estados Unidos (apartado 10) se realizan al amparo de cláusulas contractuales tipo o, cuando el proveedor está certificado, del EU-US Data Privacy Framework (artículo 45 del RGPD). Puedes solicitar una copia de las garantías contractuales aplicables escribiendo a privacy@trexana.app.
• Usuarios de Brasil. Los datos se alojan en los Países Bajos y son accesibles para el responsable desde fuera del EEE. La transferencia se realiza por los motivos previstos en el artículo 33 de la LGPD, principalmente cláusulas contractuales que garantizan un nivel de protección comparable al exigido por la ley.
• Usuarios de Georgia. Los datos se alojan en los Países Bajos. La transferencia de datos a otro Estado se realiza conforme a los requisitos de la Ley de Georgia sobre Protección de Datos Personales y sobre la base de contratos con proveedores que garantizan salvaguardias adecuadas.

12. Plazos de conservación

Los plazos de cada categoría figuran en la tabla del apartado 3. Como reglas generales:

• Los datos de la cuenta y de los entrenamientos se conservan mientras la cuenta esté activa.
• Al eliminar la cuenta, los datos se conservan 14 días más: durante ese plazo, iniciar sesión cancela la eliminación, de modo que una decisión accidental o precipitada puede revertirse. Transcurridos los 14 días, los datos se eliminan de forma irreversible.
• Los datos desaparecen de las copias de seguridad en un plazo de 30 días desde la eliminación: es un margen técnico frente a incidencias.
• La documentación que la ley nos obliga a conservar (por ejemplo, a efectos fiscales) se mantiene durante el plazo legal, con independencia de la eliminación de la cuenta.
• Los registros de los pagos los conservan Google y Apple con sus propias reglas; ese plazo queda fuera de nuestro control.
• Las estadísticas agregadas anonimizadas se conservan indefinidamente, ya que no son datos personales.

13. Eliminación de la cuenta y de los datos

Hay dos formas de eliminar la cuenta.

• En la aplicación: Perfil → sección «Cuenta» → «Eliminar cuenta».
• Sin la aplicación: por correo electrónico desde la dirección con la que se registró la cuenta, siguiendo las instrucciones de la página de eliminación de cuenta. Las solicitudes se tramitan en 10 días laborables.

En ambos casos se aplica el mismo procedimiento: la eliminación se aplaza 14 días, durante los cuales iniciar sesión la cancela; después, la cuenta, el historial de entrenamientos y los ajustes se eliminan definitivamente, y los datos desaparecen de las copias de seguridad en los 30 días siguientes. Las grabaciones de vídeo de las series, el perfil de calibración, las respuestas de salud y los logros están solo en tu dispositivo: se borran junto con los datos de la aplicación, por lo que basta con desinstalarla o borrar sus datos.

Eliminar la cuenta no cancela la suscripción contratada en Google Play o en la App Store: debes cancelarla por separado en los ajustes de la tienda correspondiente. La cancelación y los reembolsos se describen en los Términos de Suscripción.

14. Tus derechos y cómo ejercerlos

Según la ley que te resulte aplicable, puedes:

• obtener confirmación de que se están tratando tus datos y una copia de ellos, incluso en formato legible por máquina para transferirlos a otro responsable (acceso y portabilidad);
• rectificar los datos inexactos y completar los incompletos;
• eliminar tu cuenta y tus datos (supresión);
• limitar el tratamiento u oponerte al tratamiento basado en el interés legítimo;
• retirar el consentimiento, sin que ello afecte a la licitud del tratamiento anterior;
• saber con quién se han compartido tus datos y ser informado de las consecuencias de negar el consentimiento (art. 18 LGPD);
• solicitar la anonimización, el bloqueo o la eliminación de datos innecesarios o excesivos, o tratados con infracción de la ley (art. 18.IV LGPD);
• si resides en California, conocer las categorías de datos que recogemos, sus fuentes y finalidades, solicitar su eliminación y rectificación, y limitar el uso de la información personal sensible; no vendemos ni cedemos datos, por lo que no es necesario ejercer el derecho de exclusión de la venta. No te trataremos de forma discriminatoria por ejercer cualquiera de estos derechos;
• si resides en otro estado de EE. UU. con ley de privacidad, recurrir además nuestra negativa a atender tu solicitud; la vía de recurso es la misma que la de solicitud.

Cómo presentar una solicitud. Escribe a privacy@trexana.app desde la dirección con la que se registró tu cuenta e indica qué derecho deseas ejercer. La dirección del remitente sirve como verificación de identidad; si el mensaje llega desde otra dirección, podemos pedir información adicional para asociarlo a una cuenta, únicamente a efectos de comprobación y sin conservarla. También puedes presentar la solicitud a través de un representante autorizado, adjuntando el documento que acredite su poder.

Plazos de respuesta. Según el RGPD, un mes; en solicitudes complejas o numerosas el plazo puede prorrogarse dos meses más, y te indicaremos el motivo. Según la LGPD, de inmediato en formato simplificado y en 15 días en formato completo. Según la CCPA, acuse de recibo en 10 días laborables y respuesta en 45 días, prorrogables. El ejercicio de tus derechos es gratuito; solo podremos cobrar por solicitudes manifiestamente infundadas o excesivamente repetitivas.

15. Reclamaciones y autoridades de control

Si consideras que tus derechos han sido vulnerados, dínoslo primero: intentaremos resolverlo directamente. Con independencia de ello, tienes derecho a reclamar ante una autoridad de control:

• Georgia: Personal Data Protection Service (personaldata.ge), autoridad del lugar de registro del responsable;
• EEE: la autoridad de protección de datos de tu país de residencia, de tu lugar de trabajo o del lugar de la presunta infracción;
• Brasil: Autoridad Nacional de Protección de Datos (ANPD);
• Reino Unido: Information Commissioner's Office (ICO);
• California: California Privacy Protection Agency o la Fiscalía General del estado.

16. Restricciones de edad

Trexana está destinada a personas de 18 años o más. La restricción no responde solo a las normas sobre el consentimiento de menores para el tratamiento de datos (art. 8 RGPD, art. 14 LGPD, COPPA), sino a la naturaleza del servicio: la aplicación ofrece una evaluación automatizada y no médica del ejercicio físico, que en menores de 18 años exigiría un control parental y una supervisión médica que el servicio no presta. No recogemos deliberadamente datos de menores de 18 años. Si tenemos conocimiento de que una cuenta pertenece a un menor, la eliminaremos junto con los datos asociados. Si crees que un menor nos ha facilitado datos, escribe a privacy@trexana.app.

17. Seguridad e incidentes

Aplicamos medidas técnicas y organizativas proporcionadas a los riesgos del tratamiento: los datos viajan entre la aplicación y el servidor únicamente por conexión segura (HTTPS/TLS); las contraseñas se guardan como hashes criptográficos y nunca en claro; el acceso a la base de datos de producción se limita a quien lo necesita y está protegido con credenciales propias; las operaciones de inicio de sesión y de restablecimiento de contraseña tienen limitada su frecuencia; los códigos de restablecimiento se guardan como hashes con vida corta y un límite de intentos. El vídeo y los datos de salud no salen del dispositivo, lo que de por sí elimina toda una categoría de riesgos.

Ningún sistema es completamente seguro. Ante una violación que pueda suponer un riesgo para tus derechos y libertades, notificaremos a la autoridad de control en un plazo de 72 horas desde que tengamos conocimiento de ella (art. 33 RGPD) y, cuando el riesgo sea alto, te lo notificaremos sin dilación indebida, describiendo la naturaleza del incidente, sus consecuencias probables y las medidas adoptadas. Se realizan notificaciones equivalentes en un plazo razonable conforme a la LGPD y a la Ley de Georgia de Protección de Datos Personales.

18. Sitio web: cookies, tipografías, registros

El sitio trexana.app no utiliza cookies analíticas, publicitarias ni de seguimiento, y no instala rastreadores. No hay ningún servicio de analítica conectado; si se añadiera alguno, actualizaríamos este apartado antes de activarlo y, cuando la ley lo exija, solicitaríamos tu consentimiento.

Las tipografías utilizadas en el sitio están alojadas en nuestro propio dominio y se cargan desde él. Al abrir una página no se realiza ninguna petición a CDN de tipografías de terceros, incluido Google Fonts, por lo que su dirección IP no se comunica a ningún tercero con esa finalidad.

Nuestro proveedor de alojamiento mantiene registros técnicos de acceso que incluyen la dirección IP, la fecha, la dirección solicitada y el tipo de navegador. Estos datos se tratan sobre la base de nuestro interés legítimo en mantener el sitio disponible y seguro (art. 6.1.f RGPD) y no se usan para elaborar perfiles de visitantes.

El idioma que eliges en el sitio se guarda en el almacenamiento local de tu navegador. Es un ajuste técnico necesario para mostrar las páginas en el idioma elegido; no se comunica a terceros y desaparece cuando borras los datos del sitio en el navegador.

19. Cambios y versiones lingüísticas

Esta Política puede actualizarse, por ejemplo al incorporar funciones nuevas o cambiar de proveedor. La fecha de entrada en vigor y el número de versión figuran al principio de la página. Anunciaremos los cambios sustanciales que afecten al volumen de datos tratados, a las finalidades, a los destinatarios o a tus derechos en la aplicación o por correo electrónico con al menos 14 días de antelación; las modificaciones menores, como aclaraciones de redacción o corrección de erratas, surten efecto con su publicación. Si un cambio requiere consentimiento, lo solicitaremos por separado y antes de iniciar el nuevo tratamiento.

Esta Política se publica en seis idiomas. Todas las versiones se actualizan simultáneamente y coinciden en su contenido. En caso de discrepancia entre traducciones, prevalece la versión inglesa.

20. Contacto

Para asuntos de protección de datos y el ejercicio de tus derechos: privacy@trexana.app. Para dudas sobre la aplicación y la suscripción: support@trexana.app. Los datos completos de registro del responsable se facilitan previa solicitud.