Política de Privacidad

Strev está en fase beta gratuita operada por su equipo fundador con sede en España. El responsable del tratamiento es Equipo Strev (persona física con sede en España). La identidad disponible del prestador figura en el Aviso Legal; la identificación completa (NIF y domicilio) se publicará al alta como autónomo, antes del cobro del primer plan de pago.

Para ejercer tus derechos o resolver cualquier duda de privacidad puedes contactarnos en:

• Email general: hola@strev.app
• Privacidad y derechos: privacidad@strev.app

No hemos designado Delegado de Protección de Datos (DPO) porque no concurren los supuestos del Art. 37 RGPD (no somos autoridad pública, no realizamos observación sistemática a gran escala ni tratamos datos del Art. 9 RGPD a gran escala). Para cualquier asunto relativo a privacidad escríbenos a privacidad@strev.app.

Tratamos las siguientes categorías de datos personales:

• Identificativos: email, nombre o alias, contraseña (almacenada con hash seguro bcrypt).
• Datos de uso deportivo: rutinas, ejercicios, sesiones, pesos, repeticiones, comentarios, métricas de adherencia y XP/Nivel.
• Datos de salud (categoría especial, Art. 9 RGPD): lesiones, condiciones médicas, medicación, alergias y otros indicados libremente en la ficha de anamnesis. Se cifran en la base de datos con AES-256-GCM (Art. 32 RGPD) y solo se tratan con tu consentimiento explícito.
• Vídeos de ejercicios: los archivos que decidas subir a las funciones disponibles se almacenan para mostrarlos dentro del servicio. No se envían a un sistema de análisis automatizado durante la beta actual.
• Datos de pago: no se solicitan durante la beta gratuita actual. Si se habilita la contratación, actualizaremos esta política antes de recogerlos.
• Datos técnicos de seguridad: dirección IP, User-Agent y timestamps en logs de seguridad para detección de abusos, rate-limiting e investigación de incidentes. Retención máxima 14 días.
• Datos técnicos de analítica: tipo de dispositivo y reportes de error agregados vía Sentry, solo si das consentimiento expreso en el banner. La IP se trunca en este caso.

Tratamos tus datos para las siguientes finalidades, con la base legal correspondiente:

• Prestación del servicio (ejecución de contrato, Art. 6.1.b RGPD): crear y mantener tu cuenta, gestionar rutinas, registrar sesiones, facilitar la relación entrenador–atleta.
• Datos de salud (consentimiento explícito, Art. 9.2.a RGPD): personalización del entrenamiento en función de lesiones, alergias, medicación o condiciones médicas. Puedes revocarlo en cualquier momento sin afectar al resto del servicio.
• Pagos y facturación: no se tratan en la beta gratuita actual. Si se activa la contratación, se informarán la base legal y el proveedor antes de solicitar datos de pago.
• Comunicaciones operativas (interés legítimo, Art. 6.1.f RGPD): emails transaccionales de alta, recuperación de contraseña y avisos necesarios del servicio. No enviamos publicidad sin consentimiento.
• Mejora del servicio (consentimiento, Art. 6.1.a RGPD): reporte de errores y replays (Sentry) solo si aceptas analíticas en el banner de cookies.
• Seguridad y prevención de fraude (interés legítimo, Art. 6.1.f RGPD): rate-limiting, detección de abusos, logs de seguridad.

El análisis de vídeo con IA no está disponible comercialmente durante la beta gratuita actual. No enviamos tus vídeos a un modelo de IA ni tomamos decisiones automatizadas sobre ti con efectos jurídicos o similares.

Si se habilitan estos servicios, publicaremos antes de activarlos qué datos usan, con qué finalidad, durante cuánto tiempo y qué proveedor los procesa. Su uso será opcional y las sugerencias nunca sustituirán la revisión humana ni el consejo de un profesional sanitario.

• Cuenta y datos de uso: mientras la cuenta esté activa.
• Vídeos de ejercicios: mientras la cuenta esté activa o hasta que los elimines desde las funciones disponibles.
• Datos de salud (anamnesis): mientras la cuenta esté activa o hasta que revoques el consentimiento.
• Facturación: no generamos datos de facturación durante la beta gratuita. Si se habilita la contratación, indicaremos aquí su plazo legal de conservación.
• Cuentas inactivas: tras 24 meses sin acceso te avisaremos por email; 30 días después procederemos al borrado salvo que reactives la cuenta.
• Tras solicitud de borrado: al solicitarlo via DELETE /auth/me o email a privacidad@strev.app, la cuenta se desactiva de inmediato y se elimina definitivamente a los 30 días. Si inicias sesión dentro de ese plazo, el borrado se cancela.

Para operar Strev contamos con los siguientes proveedores, todos ellos con contratos de encargo de tratamiento (DPA) firmados o sus equivalentes contractuales:

No vendemos ni cedemos tus datos con fines publicitarios.

Algunos encargados (Resend y Sentry) tienen su sede o procesan datos en EE.UU. Estas transferencias se amparan en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914) y, cuando aplica, en los marcos de adecuación del Data Privacy FrameworkEU–US.

Como medidas suplementarias aplicamos cifrado en tránsito (TLS 1.2+), cifrado at-rest de datos de salud (AES-256-GCM) y minimización de PII enviada a cada encargado.

En cualquier momento puedes ejercer los siguientes derechos:

• Acceso: solicitar copia de tus datos.
• Rectificación: corregir datos inexactos.
• Supresión (derecho al olvido, Art. 17 RGPD): borrado total. Disponible self-service desde tu perfil o por email.
• Portabilidad (Art. 20 RGPD): export en formato estructurado (Excel/JSON) desde tu perfil.
• Oposición al tratamiento basado en interés legítimo, incluidas las decisiones automatizadas (Art. 22 RGPD).
• Limitación del tratamiento.
• Revocación del consentimiento en cualquier momento, tan fácil como darlo, sin efecto retroactivo.
• No ser objeto de perfilado con efectos jurídicos o significativos similares.

Para ejercerlos escríbenos a privacidad@strev.app (responderemos en máx. 30 días). También puedes reclamar ante la Agencia Española de Protección de Datos (AEPD) si consideras que no respetamos tus derechos.

Strev no se ofrece a menores de 14 años (límite mínimo en España según LOPDGDD Art. 7). Entre los 14 y los 16 años, recomendamos consentimiento parental. Al registrarte declaras cumplir este requisito. Si detectamos una cuenta de un menor sin consentimiento adecuado, la suspenderemos y borraremos sus datos.

Usamos cookies y localStorage para los siguientes fines, cada uno con su categoría:

• Técnicas (siempre activas): sesión de autenticación, preferencia de tema (claro/oscuro), idioma.
• Analíticas (opt-in): Sentry (duración: sesión + 30 días) y Umami (sin cookies) para reporte de errores y estadísticas agregadas. Solo se cargan tras tu consentimiento.
• Marketing (opt-in): actualmente no usamos cookies de marketing. Reservado para futuras integraciones que requerirán consentimiento expreso.

Puedes revocar o modificar tu consentimiento en cualquier momento usando Gestionar cookies. Al pulsarlo se reabre el banner de consentimiento. Si cambiamos el texto de esta política te volveremos a mostrar el banner.

Aplicamos medidas técnicas y organizativas razonables: HTTPS obligatorio, hashing de contraseñas con bcrypt (12 rondas), tokens JWT con expiración, rate-limiting en endpoints de autenticación, auditorías periódicas de dependencias y revisiones de seguridad del código. Ningún sistema es 100 % infalible; notificaremos sin demora cualquier brecha de seguridad significativa según el Art. 33 RGPD.

Si introducimos cambios sustanciales te avisaremos por email o aviso destacado en la app con al menos 15 días de antelación. La fecha de la última actualización aparece en la cabecera de este documento.