Política de privacidad
1. Responsable y contacto
Ulida Technology. Email: hello@ulida.io.
2. A quién se aplica y qué papel tiene Ulida
Ulida es una plataforma que usan entrenadores, nutricionistas y centros (los “coaches”) para trabajar con sus clientes. Según quién seas, el papel de Ulida cambia:
- Si eres coach o miembro del equipo de un coach: Ulida es responsable de los datos de tu cuenta, de la facturación y del soporte.
- Si eres cliente de un coach: tu coach es el responsable de tus datos de coaching (entrenos, nutrición, salud, progreso, chat), y Ulida su encargado del tratamiento (art. 28 RGPD), que solo trata esos datos siguiendo sus instrucciones. Ulida es responsable de tu cuenta de acceso a la app: credenciales, dispositivo, notificaciones, registros de consentimiento y seguridad. Más detalles en el apartado 15.
- Si visitas ulida.io o te apuntas a la lista de espera: Ulida es responsable.
- Si rellenas un formulario o una página de reservas de un coach (landing, paquetes, reservas): el responsable es ese coach. Consulta su política de privacidad, enlazada en su página.
3. Qué datos tratamos y de dónde vienen
| Categoría | Ejemplos | Origen |
|---|---|---|
| Cuenta | Nombre, email, contraseña (cifrada con hash), foto, idioma, zona horaria, rol | Tú, o el coach que te invita |
| Negocio y facturación (coaches) | Nombre comercial, razón social, NIF, dirección, plan, facturas, últimos dígitos de la tarjeta (los datos completos los tiene Stripe) | Tú y Stripe |
| Coaching (clientes, por encargo del coach) | Fecha de nacimiento, sexo, objetivos, programas, entrenos registrados, nutrición y registro de comidas (incluidas las fotos de comidas), hábitos, suplementos, check-ins y formularios, reservas, pagos al coach, mensajes, notas de voz, reacciones, publicaciones en comunidades, retos | Tú y tu coach |
| Salud (categoría especial) | Peso, medidas, composición corporal, fotos de progreso, lesiones, limitaciones, alergias, el cuestionario de salud (PAR-Q) y otras respuestas de salud, datos de Apple Salud, Health Connect o WHOOP (pasos, frecuencia cardiaca, sueño, recuperación, entrenos) | Tú, tu coach y los wearables que conectes |
| Uso y técnicos | Dispositivo, sistema y versión de la app, token de notificaciones push, dirección IP (para la seguridad, los límites de uso y la protección contra bots en las páginas públicas), registros de acceso y de errores (sin IP en Sentry), preferencias de la interfaz | Automáticamente |
| Consentimientos | Qué versión aceptaste o retiraste, cuándo y desde dónde | Automáticamente |
| Integraciones | Tokens de OAuth de calendarios y de WHOOP (cifrados), horas ocupadas del calendario, tokens de la API y del MCP | Los servicios que conectes |
| Lista de espera y contacto | Email, idioma, origen, fecha del consentimiento y su confirmación (doble opt-in); nombre, rol y número de clientes si nos escribes | Tú |
| Navegación en ulida.io y app.ulida.io | Cookies técnicas y, si lo aceptas, de analítica (ver la Política de cookies) | Automáticamente |
4. Para qué usamos los datos y con qué base jurídica
Esta tabla cubre los tratamientos en los que Ulida es responsable. Los datos de coaching los trata el coach con su propia base jurídica (apartado 15).
| Finalidad | Datos | Base jurídica (RGPD) | Plazo (ver §8) |
|---|---|---|---|
| Crear y gestionar la cuenta del coach y prestar el Servicio | Cuenta, negocio, uso | Ejecución del contrato (6.1.b) | Mientras dure la cuenta + periodo de gracia |
| Facturar la suscripción y cumplir las obligaciones contables y fiscales | Facturación | Obligación legal (6.1.c): Código de Comercio art. 30, LGT | 6 años (contable) / 4 años (tributario) |
| Gestionar la cuenta de acceso del cliente a la app (login, notificaciones, seguridad, registro del consentimiento) | Cuenta, técnicos, consentimientos | Ejecución de las condiciones de uso (6.1.b); obligación legal de demostrar el consentimiento (art. 7.1) | Mientras dure la cuenta; registros de consentimiento, mientras dure + 3 años |
| Soporte y atención de solicitudes | Cuenta, mensajes de soporte | Contrato; interés legítimo en atenderte | 2 años desde el cierre del caso |
| Seguridad, prevención del fraude y abuso, auditoría de accesos (incluidos los accesos de soporte “Ver como”) | Técnicos, registros | Interés legítimo (6.1.f; considerando 49) | 12 meses |
| Detectar y corregir errores (Sentry) | ID de usuario, datos técnicos | Interés legítimo | 90 días |
| Novedades y comunicaciones comerciales de Ulida a coaches clientes | Nombre, email | Interés legítimo y art. 21.2 LSSI-CE (productos similares); baja en cada envío | Hasta que te des de baja o termine la relación |
| Lista de espera del lanzamiento (Loops) | Email, idioma, origen, fecha | Consentimiento (6.1.a) con doble opt-in | Hasta que te des de baja |
| Responder al formulario de contacto o demo | Nombre, email, rol, clientes, mensaje | Consentimiento / medidas precontractuales (6.1.b) | 1 año si no se contrata |
| Analítica web (GA4) en ulida.io y app.ulida.io | Identificadores de cookie, páginas visitadas, datos aproximados del dispositivo | Consentimiento (art. 22.2 LSSI-CE; 6.1.a) | Cookies hasta 2 años; datos en GA4, 2 meses |
| Programa de referidos | Código, coaches referidos, cumplimiento de requisitos | Contrato (bases del programa) | Mientras dure el programa + plazos legales |
| Ejercer o defender reclamaciones; atender requerimientos de autoridades | Los necesarios | Interés legítimo; obligación legal | Plazos de prescripción |
No tomamos decisiones automatizadas con efectos jurídicos o significativos sobre ti (art. 22 RGPD), ni hacemos perfiles con fines publicitarios. No vendemos datos.
5. Datos de salud
Los datos de salud son una categoría especial (art. 9 RGPD). La base para tratarlos es tu consentimiento explícito (art. 9.2.a), que pide tu coach a través de Ulida, salvo que tu coach sea un profesional sanitario que pueda basarse en el art. 9.2.h. En concreto:
- Wearables (Apple Salud, Health Connect, WHOOP): la app te lo pide al conectarlos, con una línea que explica qué incluye y el botón “Aceptar y conectar”. Sin ese consentimiento no se sincroniza nada y el servidor rechaza los datos. Puedes retirarlo cuando quieras en Más › Datos y privacidad. Desde ese momento dejan de llegar datos nuevos; lo que ya se envió sigue disponible para tu coach hasta que pidas que se borre.
- Datos que introducís tú o tu coach (medidas, fotos, lesiones, check-ins, comidas): los trata tu coach como responsable, con tu consentimiento explícito o la base que corresponda a su actividad (apartado 15). Al empezar, la app te pide aceptar esta política y, por separado, el consentimiento para los datos de salud.
- Cuestionario de salud (PAR-Q): antes de usar la app te pedimos un breve cuestionario de salud, que solo ven tu coach y su equipo, para que adapte el entrenamiento con prudencia. No es un examen médico ni un diagnóstico.
- Los datos de salud solo los ven tu coach y su equipo. Nunca se usan para publicidad, nunca se venden y nunca se usan para entrenar IA.
- Los datos de Apple Salud y Health Connect se usan solo para mostrártelos a ti y a tu coach dentro del servicio, según las normas de HealthKit y de Health Connect. No se comparten con terceros para publicidad ni para intermediarios de datos.
6. Destinatarios, subencargados y transferencias internacionales
Tus datos los ven tu coach y su equipo (si eres cliente) y el personal autorizado de Ulida cuando lo necesita para el soporte o la seguridad. Además, los tratan estos proveedores por encargo de Ulida. La lista actualizada está en app.ulida.io/subprocessors:
| Proveedor | Para qué | Dónde | Garantía si sale del EEE |
|---|---|---|---|
| Amazon Web Services | Servidores, base de datos, archivos, caché, email (SES) | Irlanda (UE) | Los datos se alojan en la UE; el contrato de encargo incluye SCC para cualquier acceso desde fuera |
| Resend | Emails del servicio | EE. UU. | SCC (y DPF si está certificado) |
| Stripe | Pagos y facturación | UE y EE. UU. | DPF + SCC |
| Sentry | Errores técnicos (sin IP) | Alemania (UE) | Los datos se alojan en la UE; SCC para el acceso del soporte |
| Expo, Apple, Google | Notificaciones push: el token del dispositivo y el título y el texto de la notificación (por ejemplo, la vista previa de un mensaje) | EE. UU. | SCC (y DPF si está certificado) |
| Anthropic | Asistente de IA del coach (Ulio) y generación de recetas | EE. UU. | SCC (y DPF si está certificado) |
| OpenAI | Imágenes de recetas e ilustraciones de hábitos | EE. UU. | No recibe datos personales |
| Loops | Lista de espera y emails de marketing de Ulida | EE. UU. | SCC (y DPF si está certificado) |
| Google (Analytics) | Analítica web, solo con consentimiento | UE y EE. UU. | DPF + SCC |
“DPF” es el Marco de Privacidad de Datos UE-EE. UU. (Decisión de adecuación de la Comisión de 10 de julio de 2023), aplicable si el proveedor está certificado. “SCC” son las cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914). Puedes pedirnos una copia de las garantías en hello@ulida.io. Antes de añadir un proveedor nuevo avisamos a los coaches con 15 días de antelación. Con cada proveedor tenemos un contrato de encargo (art. 28 RGPD).
También podemos comunicar datos a autoridades, jueces y tribunales cuando la ley lo exija y, en caso de una operación societaria (fusión o venta), al adquirente, que te lo comunicará.
7. Servicios que conectas tú o tu coach
No son proveedores de Ulida: solo reciben o envían datos si los conectáis, y los tratan según sus propias condiciones. WHOOP: si conectas tu cuenta, recibimos tus datos de WHOOP. Apple Salud y Health Connect: la app los lee en tu móvil con tu permiso. Google Calendar y Microsoft 365: si el coach conecta su calendario, enviamos sus sesiones con el nombre y el email de los asistentes y leemos sus horas ocupadas. Zapier, webhooks y asistentes de IA (MCP, como Claude o ChatGPT): si el coach los conecta, reciben los datos de sus clientes que él autoriza. Stripe Connect: cuando pagas a tu coach, Stripe trata tus datos de pago como responsable (política de Stripe). Vídeos del centro de ayuda (YouTube, Vimeo, Loom): ver la Política de cookies. Open Food Facts: al escanear un código de barras que no está en nuestro catálogo, consultamos su base de datos abierta; solo se envía el código, nunca datos tuyos.
Reservas públicas: si reservas una sesión gratuita en la página de un coach, te enviamos un código por email para confirmarla y liberamos la plaza si no se confirma en una hora. El responsable de esos datos es el coach.
8. Cuánto tiempo conservamos los datos
| Datos | Plazo |
|---|---|
| Cuenta del coach y sus datos | Mientras esté activa. Si pides eliminarla, se ejecuta a los 30 días (puedes cancelarlo hasta entonces) y se borra o anonimiza. Si cancelas la suscripción sin eliminar la cuenta, la conservamos para que puedas reactivarla, y puedes eliminarla cuando quieras. |
| Datos de coaching de un cliente | Lo que decida el coach. Si el coach elimina su cuenta o la ficha del cliente, se borran. Si el cliente elimina su cuenta de la app, se borra a los 30 días. |
| Registros de cobros, compras y facturas | 6 años, anonimizados respecto a la persona borrada y bloqueados (art. 30 del Código de Comercio; art. 32 LOPDGDD) |
| Registros de auditoría y seguridad (administración, roadmap, llamadas MCP) | 12 meses |
| Sesiones iniciadas (tokens) | Se cierran tras 90 días sin uso |
| Códigos y enlaces de un solo uso (contraseña, cambio de email) | 30 días después de caducar |
| Copias de datos enviadas por email | Enlace válido 72 horas |
| Subidas temporales sin usar | De 1 a 7 días |
| Registros de consentimiento | Mientras dure la cuenta + 3 años para poder demostrarlo |
| Lista de espera | Hasta que te des de baja |
| Errores (Sentry) | 90 días |
| Analítica (GA4) | 2 meses |
| Copias de seguridad | Hasta 35 días; lo borrado desaparece de ellas al rotar |
Pasados estos plazos, los datos se borran o se anonimizan. Cuando la ley obliga a conservarlos, quedan bloqueados (art. 32 LOPDGDD): solo se usan para atender a jueces, tribunales o autoridades.
9. Tus derechos y cómo ejercerlos
| Derecho | Qué significa |
|---|---|
| Acceso (art. 15) | Saber qué datos tuyos tratamos y obtener una copia |
| Rectificación (art. 16) | Corregir datos inexactos |
| Supresión (art. 17) | Pedir que borremos tus datos |
| Oposición (art. 21) | Oponerte a un tratamiento basado en el interés legítimo, o a recibir comunicaciones comerciales |
| Limitación (art. 18) | Que conservemos los datos sin usarlos mientras se resuelve una reclamación |
| Portabilidad (art. 20) | Recibir tus datos en un formato estructurado (JSON o CSV) o que se los enviemos a otro proveedor |
| Retirar el consentimiento (art. 7.3) | Sin que afecte a lo tratado antes |
Cómo ejercerlos. Escribe a hello@ulida.io desde el email de tu cuenta (o aporta un medio para verificar tu identidad). Te responderemos en un mes, ampliable dos meses más en casos complejos, avisándote. Es gratuito.
Desde la app de cliente: en Más › Ajustes › Datos y privacidad puedes descargar una copia de tus datos en un ZIP, eliminar tu cuenta (en 30 días, cancelable) y dar o retirar el consentimiento de salud. Desde el panel web (coaches): en Ajustes › Datos y privacidad puedes eliminar tu cuenta; para recibir una copia de tus datos y los de tus clientes (JSON o CSV), escríbenos a hello@ulida.io y te la enviaremos en el plazo de un mes.
Si eres cliente de un coach, tu coach es el responsable de tus datos de coaching: puedes ejercer tus derechos ante él o ante nosotros, y en ese caso se lo trasladaremos y le ayudaremos a atenderte.
Reclamación. Si crees que no hemos atendido bien tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es, sede electrónica sedeagpd.gob.es). Te recomendamos escribirnos antes.
10. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo: alojamiento en la UE, cifrado en tránsito y en reposo, contraseñas guardadas con hash, almacenamiento de archivos privado con enlaces que caducan, control de accesos por roles, sesiones que caducan, límites de uso, registro de accesos y auditoría (también de los accesos del soporte), copias de seguridad y proveedores con garantías contractuales.
Brechas de seguridad. Si una brecha afecta a datos personales, la notificaremos a la AEPD en un máximo de 72 horas cuando haya riesgo, y a las personas afectadas sin dilación si el riesgo es alto (arts. 33 y 34 RGPD). Si los datos son de clientes de un coach, avisaremos al coach para que pueda hacerlo él como responsable.
11. Menores
Ulida no está dirigida a menores de 14 años. En España, quien tiene menos de 14 años no puede consentir solo el tratamiento de sus datos: hace falta el consentimiento de su madre, padre o tutor (art. 7 LOPDGDD). Si un coach entrena a un menor de 14 años, el coach es responsable de obtener y conservar ese consentimiento. Las apps avisan cuando se introduce una fecha de nacimiento de menos de 14 años. Si eres padre, madre o tutor y crees que tratamos datos de tu hijo sin consentimiento, escríbenos a hello@ulida.io y lo resolveremos con su coach. Los coaches deben ser mayores de 18 años.
12. Inteligencia artificial
Ulida tiene funciones de IA para los coaches: el asistente Ulio, la generación de recetas e imágenes y la conexión con asistentes externos (MCP). Cuando un coach pregunta a Ulio, se envían al proveedor de IA (Anthropic) la pregunta y los datos de clientes necesarios para responder. Las imágenes se generan con OpenAI a partir de la receta, sin datos de clientes. Según sus condiciones comerciales de API, estos proveedores no usan los datos para entrenar sus modelos y solo los conservan durante un tiempo limitado para la seguridad y la prevención de abusos. Ulida tampoco entrena modelos con tus datos. Si el coach conecta un asistente externo (por ejemplo Claude o ChatGPT) mediante MCP, ese asistente recibe los datos que el coach consulta, y los trata según el contrato del coach con ese proveedor. El contenido generado con IA se marca como tal, y el coach debe revisarlo antes de usarlo.
13. Comunicaciones comerciales y lista de espera
Si eres coach cliente, podemos enviarte novedades de Ulida (art. 21.2 LSSI-CE). Si te apuntas a la lista de espera, te escribiremos solo sobre la apertura de Ulida y su disponibilidad, tras confirmar tu email. Puedes darte de baja en el enlace de cada email o en hello@ulida.io.
14. Cookies
Consulta la Política de cookies.
15. Si eres cliente de un entrenador (información que debe darte tu coach)
Tu coach es el responsable de tus datos de entrenamiento, nutrición, salud y progreso, y debe informarte de su identidad y contacto, para qué usa tus datos y con qué base, cuánto tiempo los guarda y cómo ejercer tus derechos. Ulida le da este modelo, que puede adaptar:
“{Nombre del coach o negocio}, {NIF}, {contacto}, tratará tus datos de contacto, de entrenamiento, de nutrición y de progreso para prestarte el servicio contratado (base: contrato) y, con tu consentimiento explícito, tus datos de salud (medidas, fotos, lesiones, alergias, datos de wearables) para personalizar y seguir tu plan. Uso la plataforma Ulida (Ulida Technology) como encargado del tratamiento, con servidores en la UE. Conservaré tus datos mientras dure nuestra relación y, después, durante los plazos legales. Puedes ejercer tus derechos en {email} y reclamar ante la AEPD.”
16. Cambios en esta política
Si cambiamos esta política de forma relevante, te avisaremos en la app o por email y, cuando haga falta, te pediremos que vuelvas a confirmarla. Cada versión tiene fecha, y guardamos qué versión has visto. Última actualización: 5 de noviembre de 2026.
17. Permisos de las apps móviles
Las apps solo piden un permiso cuando usas la función que lo necesita, y puedes retirarlo en los ajustes del móvil:
- Cámara: hacer fotos de progreso, de comidas, del perfil o para un check-in, y escanear códigos de barras.
- Fotos: elegir una foto de la galería para esos mismos usos (solo se sube la que eliges, reducida y comprimida) y guardar en tu galería las fotos de antes y después cuando lo pides.
- Micrófono: grabar notas de voz en el chat.
- Notificaciones: avisos de mensajes, reservas, check-ins, recordatorios de hábitos y del temporizador.
- Apple Salud / Health Connect: leer los datos de salud y actividad que autorices (apartado 5).
Las apps no usan tu ubicación, no te rastrean entre apps o webs de otras empresas y no contienen publicidad. Más condiciones de uso en los Términos y condiciones.