De un vistazo
- Solo recogemos lo que necesita un entrenador: su ID de Telegram, un perfil de deportista y los datos de entrenamiento y recuperación del dispositivo que usted conecte. No se requiere nombre, correo electrónico, número de teléfono ni dirección.
- Los datos de salud (frecuencia cardíaca, HRV, sueño, entrenamientos, readiness) se tratan únicamente con su consentimiento explícito, que puede retirar en cualquier momento.
- Los datos del ciclo menstrual requieren una aceptación aparte y más estricta: almacenamos solo las fechas de inicio de la menstruación, visibles únicamente para usted —nunca para los administradores—, y puede eliminarlos cuando quiera.
- Deliberadamente no almacenamos rutas GPS, su fecha de nacimiento completa, direcciones IP en bruto, cadenas completas de user-agent del navegador ni datos de tarjetas.
- Sus datos se almacenan en la Unión Europea, cifrados en reposo y en tránsito.
- Puede exportarlo todo en formato JSON o eliminarlo todo, directamente en el bot.
- No vendemos sus datos y no mostramos publicidad.
Esta política explica, de forma completa, qué recogemos, por qué, quién lo trata por cuenta nuestra y cuáles son sus derechos.
1. Quiénes somos
Sport AI Link («Sport AI Link», «nosotros», «nos») opera el bot de Telegram Sport AI Link (el «Bot») y el sitio web sportai.link (el «Sitio») —conjuntamente, el «Servicio»—: un entrenador deportivo personal asistido por IA que trabaja con los datos de su dispositivo wearable.
Para cualquier asunto relacionado con sus datos personales, escriba a privacy@sportai.link. Para consultas generales: hello@sportai.link.
2. Ámbito de aplicación
Esta política cubre los datos personales tratados a través del Bot y del Sitio. No cubre el tratamiento independiente realizado por Telegram, por el fabricante de su wearable ni por otros servicios de terceros que usted utilice conforme a sus propias condiciones (véase la Sección 7).
3. Qué datos recogemos
3.1 Cuenta
Su ID de Telegram numérico, el idioma de la interfaz y el estado de su prueba/suscripción. No le pedimos su nombre, número de teléfono, correo electrónico ni dirección para usar el Bot.
3.2 Perfil de deportista
Datos que usted introduce durante la incorporación o en el diálogo, o que proceden de su dispositivo: sexo, año de nacimiento (deliberadamente no la fecha completa), estatura, peso, VO2max, frecuencia cardíaca máxima y en reposo, objetivo de entrenamiento, limitaciones, unidades preferidas y zona horaria. Algunos de estos datos (sexo, peso, estatura, valores de frecuencia cardíaca) son datos de salud y están cubiertos por su consentimiento explícito (Sección 5).
3.3 Datos de salud (categoría especial)
Con su consentimiento explícito, recibimos de su wearable conectado —a través de nuestro proveedor de agregación— y calculamos a partir de ellos: frecuencia cardíaca y variabilidad de la frecuencia cardíaca (HRV), frecuencia cardíaca en reposo, métricas de sueño, registros de entrenamiento (duración, distancia, frecuencia cardíaca media, calorías, tipo de deporte), puntuaciones de readiness/recuperación y gasto energético diario.
3.4 Datos del ciclo menstrual (aceptación aparte)
Solo si usted activa de forma separada y explícita el seguimiento del ciclo, almacenamos únicamente las fechas de inicio de la menstruación. Estos datos son técnicamente visibles solo para usted: las políticas de acceso a nivel de base de datos impiden que los administradores puedan consultarlos. Puede eliminarlos en cualquier momento en el Bot, con independencia del resto de su cuenta.
3.5 Mensajes y voz
Los mensajes de texto que envía al entrenador (incluidas las preguntas de formato libre) y un historial reciente y limitado del diálogo. Los mensajes de voz se transcriben localmente en nuestra propia infraestructura; el audio se elimina inmediatamente después de la transcripción y solo se conserva el texto reconocido.
3.6 Pagos
Los pagos se realizan en Telegram Stars dentro de Telegram. Nunca recibimos ni almacenamos números de tarjeta ni datos de instrumentos de pago. Conservamos únicamente: el importe, el identificador de pago de Telegram, el paquete adquirido y las fechas del periodo de suscripción.
3.7 Analítica del Sitio
En sportai.link recogemos un conjunto mínimo y de origen propio: la ruta de la página, el idioma, la categoría de dispositivo (móvil/tableta/escritorio — no se almacena la cadena completa de user-agent), el país (código ISO derivado de la geolocalización a nivel de alojamiento), el host de referencia (sin ruta ni parámetros) y un identificador anónimo de visitante almacenado en su navegador. No se almacenan direcciones IP en bruto. De forma separada, y solo si acepta el banner de cookies, utilizamos Google Analytics 4 (Sección 12).
3.8 Registros técnicos
Registros de la cola de sincronización, contabilidad del uso de IA (recuento de tokens y coste), un registro de auditoría de las acciones de los administradores y eventos del embudo de producto (por ejemplo, registro → dispositivo conectado → suscripción).
3.9 Qué no recogemos deliberadamente
- Coordenadas y rutas GPS: los campos de ubicación se eliminan de forma recursiva de los datos de entrenamiento antes de que se escriba nada en nuestra base de datos. No sabemos dónde entrena usted.
- Su fecha de nacimiento completa (solo el año), direcciones IP en bruto, cadenas completas de user-agent, datos de tarjetas, su nombre, correo electrónico o número de teléfono.
4. De dónde proceden los datos
- De usted: datos introducidos en la incorporación, el diálogo, las confirmaciones de perfil y las aceptaciones.
- De su wearable, a través de nuestro proveedor de agregación: Garmin, Oura, Whoop, Fitbit o Strava, conectados por usted mediante la propia autorización OAuth del proveedor.
- De Telegram: sus mensajes al Bot, su ID de Telegram y su configuración de idioma, y las confirmaciones de pago.
- Del Sitio: la analítica mínima descrita en la Sección 3.7.
5. Por qué tratamos sus datos y con qué base jurídica
| Finalidad | Datos | Base jurídica (RGPD) |
|---|---|---|
| Prestación del servicio de entrenamiento: su cuenta, cálculo de métricas, planes, consejos | Cuenta, perfil, diálogo | Ejecución de un contrato, art. 6(1)(b); para los datos de salud incluidos en él, consentimiento explícito, art. 9(2)(a) |
| Tratamiento de datos de salud procedentes de su wearable | Sección 3.3 | Consentimiento explícito, art. 9(2)(a) (ámbito del consentimiento: tratamiento de datos deportivos) |
| Entrenamiento adaptado al ciclo | Sección 3.4 | Consentimiento explícito separado, art. 9(2)(a) (ámbito del consentimiento: salud menstrual) |
| Suscripciones y pagos | Sección 3.6 | Contrato, art. 6(1)(b); obligaciones legales de conservación de registros, art. 6(1)(c) |
| Analítica del Sitio mediante Google Analytics 4 | Analítica basada en cookies | Consentimiento, art. 6(1)(a) y normativa ePrivacy |
| Nuestro propio marcador de sitio, mínimo y sin cookies | Sección 3.7 | Interés legítimo, art. 6(1)(f) — comprender el uso agregado del Sitio con datos mínimos |
| Seguridad, prevención de abusos y administración | Registros técnicos, identificadores | Interés legítimo, art. 6(1)(f) |
| Conservación de los registros de consentimiento tras la eliminación de la cuenta | Registro de consentimientos | Interés legítimo en demostrar el cumplimiento y defender reclamaciones legales, art. 6(1)(f), art. 9(2)(f) |
Cuando el tratamiento se basa en el consentimiento, puede retirarlo en cualquier momento (Sección 10); la retirada no afecta a la licitud del tratamiento previo a la misma. Cuando nos basamos en el interés legítimo, puede oponerse (Sección 10).
6. Cómo se utiliza la IA con sus datos
Las métricas deportivas (carga, readiness, zonas de frecuencia cardíaca) las calcula código determinista, no la IA. El modelo de lenguaje de IA se emplea únicamente para formular los consejos de entrenamiento, y recibe:
- un briefing preparado —cifras y hechos agregados producidos por nuestro código—, nunca acceso directo a nuestra base de datos; y
- los mensajes de texto libre que usted mismo escribe al entrenador.
Nuestro proveedor de IA tiene contractualmente prohibido usar este contenido para entrenar sus modelos. No tomamos decisiones automatizadas sobre usted que produzcan efectos jurídicos o similarmente significativos (art. 22 del RGPD): el Servicio ofrece sugerencias de entrenamiento con carácter informativo, y usted decide siempre cómo entrenar.
7. Quién trata los datos por cuenta nuestra
Utilizamos un número reducido de proveedores de servicios («encargados del tratamiento») que actúan siguiendo nuestras instrucciones:
| Proveedor | Función | Datos implicados | Ubicación |
|---|---|---|---|
| Supabase | Base de datos, almacenamiento, tareas en segundo plano | Datos de cuenta y de salud (cifrados en reposo) | Región de la UE |
| Vital (tryvital.io) | Agregación de datos de wearables | Datos de salud de su dispositivo | Endpoint de la UE |
| Anthropic | Generación por IA del texto de entrenamiento | El briefing (cifras/hechos agregados) y sus mensajes de texto libre | EE. UU. (véase la Sección 8) |
| Vercel | Alojamiento del Sitio y del panel de administración | Analítica del Sitio, contenido estático | EE. UU. (véase la Sección 8) |
| Google (Analytics 4) | Analítica del Sitio, solo con su consentimiento | Datos analíticos basados en cookies | EE. UU. (véase la Sección 8) |
| Nuestro propio servidor | Ejecución del Bot y transcripción de voz local | Audio de voz (tratado localmente, eliminado de inmediato) | Nuestra infraestructura |
Las siguientes partes son servicios independientes, no encargados del tratamiento por cuenta nuestra; a lo que ellos tratan se aplican sus propias políticas de privacidad:
- Telegram: la plataforma a través de la cual usted utiliza el Bot y paga con Stars;
- Proveedores de wearables (Garmin, Oura, Whoop, Fitbit, Strava): usted autoriza la conexión directamente con ellos mediante OAuth y puede revocarla allí.
8. Transferencias internacionales
Sus datos se almacenan en la Unión Europea (base de datos en región de la UE y endpoint de la UE de nuestro agregador de wearables). Algunos proveedores tratan datos limitados en Estados Unidos:
- Anthropic (generación de texto por IA): recibe únicamente el briefing preparado y sus propios mensajes de texto libre. Las transferencias están amparadas por un acuerdo de tratamiento de datos que incorpora las Cláusulas Contractuales Tipo (CCT) de la UE.
- Vercel (alojamiento del sitio): certificado conforme al Marco de Privacidad de Datos UE-EE. UU.
- Google (Analytics 4, solo con su consentimiento): certificado conforme al Marco de Privacidad de Datos UE-EE. UU.; la anonimización de IP está activada.
Como salvaguarda adicional desde el diseño, el proveedor de IA nunca recibe el contenido en bruto de la base de datos: solo briefings agregados y el texto que usted mismo ha escrito.
9. Durante cuánto tiempo conservamos los datos
| Datos | Conservación |
|---|---|
| Cuenta, perfil, datos de salud y de ciclo | Mientras exista su cuenta; se eliminan de inmediato a petición suya (Sección 10) |
| Cuentas inactivas | Se eliminan tras 24 meses de inactividad, con aviso previo |
| Historial de diálogo | Ventana móvil de mensajes recientes; los mensajes más antiguos se descartan |
| Audio de voz | No se almacena: se elimina de inmediato tras la transcripción local |
| Analítica del Sitio (nuestro propio marcador) y registros técnicos | 12 meses |
| Registros de pagos y suscripciones | Según exija la legislación contable y fiscal aplicable |
| Registros de consentimiento | Se conservan tras la eliminación de la cuenta, hasta 5 años, con la única finalidad de demostrar que el tratamiento fue lícito |
10. Sus derechos
Usted tiene derecho a:
- Acceso y portabilidad: exportar todos sus datos en formato JSON, directamente en el Bot;
- Supresión: eliminar su cuenta y todos los datos asociados en el Bot; la eliminación se propaga en cascada a todas nuestras tablas y activa la supresión de sus datos en nuestro agregador de wearables y la desconexión de su dispositivo;
- Rectificación: corregir los datos de su perfil en el Bot en cualquier momento;
- Retirar el consentimiento: en cualquier momento, incluida la desactivación por separado del seguimiento del ciclo; las funciones relacionadas dejan de funcionar y el tratamiento previo sigue siendo lícito;
- Oposición: al tratamiento basado en el interés legítimo (incluido nuestro marcador de sitio);
- Limitación: solicitar que limitemos el tratamiento mientras se resuelve una controversia;
- Reclamar: ante su autoridad de control local en materia de protección de datos.
Para ejercer cualquier derecho, utilice las funciones integradas del Bot o escriba a privacy@sportai.link. Respondemos en un plazo de 30 días.
11. Edad
El Servicio está destinado a personas de 16 años o más. No tratamos conscientemente datos de menores de 16 años. Si cree que una persona menor de 16 años está utilizando el Servicio, escriba a privacy@sportai.link y eliminaremos la cuenta y sus datos.
12. Cookies y analítica del Sitio
- Nuestro propio marcador en el Sitio no utiliza cookies y no almacena su dirección IP.
- Google Analytics 4 funciona bajo el Google Consent Mode v2: el almacenamiento analítico está denegado por defecto, y GA no instala cookies ni envía hits identificativos hasta que usted pulsa «Aceptar» en el banner. Puede rechazarlo, y su elección se recuerda en su navegador. La anonimización de IP está activada.
13. Seguridad
Los datos están cifrados en tránsito (TLS) y en reposo. Todas las tablas de la base de datos están protegidas mediante seguridad a nivel de fila, de modo que un usuario nunca puede leer los datos de otro, ni siquiera en caso de error en la aplicación. Los datos del ciclo están además protegidos frente al acceso de los administradores a nivel de política de base de datos. El acceso de los administradores requiere autenticación de dos factores, y el panel de administración muestra únicamente agregados, nunca registros de salud en bruto. Los webhooks entrantes se verifican mediante firma. Encontrará una descripción detallada y en lenguaje sencillo en nuestra página Datos y Seguridad.
14. Cambios en esta política
Podemos actualizar esta política a medida que el Servicio evolucione. La versión y la fecha de entrada en vigor se muestran al principio. En caso de cambios sustanciales, se lo notificaremos en el Bot y, cuando la ley lo exija, le pediremos que renueve su consentimiento. Los consentimientos que usted otorga se registran junto con la versión de la política vigente en ese momento.
15. Contacto
Solicitudes de privacidad: privacy@sportai.link General: hello@sportai.link
Esta política está redactada en inglés; las traducciones se ofrecen por comodidad y, en caso de discrepancia, prevalece la versión inglesa.