Política de privacidad

El responsable del tratamiento es Raul Sanz, persona física que opera CicloPilot, con domicilio en España. Identificación fiscal disponible bajo requerimiento conforme al art. 13 RGPD escribiéndonos al correo de contacto.

Para cualquier cuestión relacionada con esta política o con el ejercicio de tus derechos puedes escribirnos a: privacidad@ciclopilot.com.

Recogemos únicamente los datos necesarios para prestarte el servicio:

• Datos de registro. Email. Empleamos autenticación por enlace mágico (OTP) o inicio de sesión con Google (OAuth) — en ese caso Google nos cede tu email y nombre de perfil. No almacenamos contraseñas.
• Datos de tus dispositivos y ficheros. Si conectas una fuente, importamos actividades, streams (potencia, frecuencia cardiaca, cadencia, velocidad, altitud, GPS), tiempos y metadatos. Fuentes disponibles: Garmin Connect (conexión oficial con Garmin: tus actividades con sus ficheros FIT), intervals.icu (puente gratuito para COROS y otros dispositivos, mediante una clave API personal o su conexión oficial, que puedes revocar allí en cualquier momento), Polar, Wahoo y Suunto (OAuth oficial del fabricante, solo lectura) y los ficheros .fit/.tcx/.gpx/.zip que subes tú. Si lo pides, enviamos tus sesiones planificadas a tu reloj: a Garmin directamente y a otros relojes a través de intervals.icu; solo las que tú decides enviar. Nunca publicamos ni compartimos tus actividades con terceros. Puedes revocar el acceso desde Perfil › Conexiones o desde el panel del propio proveedor: al desconectar llamamos al endpoint de revocación del proveedor cuando existe, borramos los tokens o claves cifrados y dejamos de sincronizar actividades nuevas. Strava: la integración no está disponible (su API de 2026 prohíbe el uso de sus datos con IA). Las actividades importadas de Strava mientras estuvo disponible se conservan en tu histórico, nunca se envían a herramientas de inteligencia artificial y puedes borrarlas cuando quieras. Detalle en Cómo tratamos tus datos.
• Datos de perfil deportivo. Edad, peso, altura, FTP estimado, frecuencia cardiaca máxima y de reposo, objetivos, disponibilidad semanal, experiencia y preferencias. Estos datos son opcionales pero necesarios para generar un plan de calidad.
• Datos de uso. Páginas visitadas y métricas de rendimiento (Core Web Vitals), a través de Vercel Analytics (sin cookies, datos agregados, no vincula visitas a individuos concretos).
• Datos de pago. Si te suscribes a Pro, la facturación y los datos de tarjeta los gestiona Stripe directamente. CicloPilot no almacena ningún dato de tarjeta bancaria — recibimos de Stripe únicamente un identificador de cliente y el estado de suscripción.
• Datos de salud — ciclo menstrual (opt-in). Categoría especial de datos personales según el Art. 9 RGPD. Solo se procesan si activas expresamente la función "Tracking ciclo menstrual" en tu Perfil. Recogemos: fechas de inicio/fin de período, síntomas opcionales (cramps, fatiga, sueño, energía, mood) en escala 1-5, duración media del ciclo y si usas anticoncepción hormonal (sí/no, sin detallar el método). Base legal: consentimiento explícito (Art. 9.2.a RGPD). Encriptados en reposo, RLS estricta (solo tú los ves). Audit log de accesos. Puedes pausar el procesamiento, exportar (JSON) o borrar todo desde tu Perfil con efecto inmediato (Art. 17). Estos datos solo se usan para que el entrenador IA ajuste tu plan de entrenamiento como contexto — no es diagnóstico ni prescripción médica. Importante: mientras la función esté activa, enviamos a nuestro subencargado de IA (Anthropic), como parte del contexto con el que genera tu plan, tus análisis y las respuestas de Entrenador: la fase del ciclo, el día del ciclo y los síntomas notables (puntuación ≥3/5) de los últimos 14 días; nunca tus notas libres ni el histórico completo.
• Datos de salud — bienestar (opcional). Si conectas Garmin o intervals.icu, o subes el export de tu plataforma, podemos importar métricas diarias de bienestar: sueño, HRV, frecuencia cardiaca en reposo, estrés y VO2max estimado. Son datos relativos a la salud (Art. 9 RGPD). Base legal: tu consentimiento explícito (Art. 9.2.a RGPD), que otorgas al conectar la fuente y puedes retirar desconectándola o borrando los datos. Se usan únicamente como contexto para que el entrenador IA module la intensidad de tu plan (por ejemplo, bajar carga tras noches de mal sueño) y se envían con ese fin a nuestro subencargado de IA (Anthropic). No son diagnóstico médico.

• Generar tu plan semanal personalizado a partir de tu perfil y actividades.
• Analizar tus entrenamientos tras cada sesión (ejecución, drift, fatiga, recomendación).
• Alimentar Entrenador (las respuestas a lo que le preguntas) con tu historial.
• Prestarte el servicio en general: login, sincronización, cálculo de zonas, curva de potencia, PMC.
• Gestionar la relación contractual, facturación y soporte.
• Enviarte correos (ver «Correos que te enviamos»): los del servicio, avisos de tu plan y de amigos mientras no los desactives, y novedades u ofertas solo si las activas.
• Entender el uso agregado del producto para mejorarlo (analítica anonimizada). Importante: los datos deportivos importados de tus dispositivos o ficheros (potencia, frecuencia cardiaca, GPS, distancia, cadencia, etc.) nunca se utilizan para analítica de producto, business intelligence, generación de insights agregados, ni ningún tratamiento que combine datos entre usuarios. Solo se procesan dentro del contexto individual del usuario que los autorizó, exclusivamente para generar su propio plan, análisis y respuestas de Entrenador.

Usamos sistemas de inteligencia artificial para tres cosas: elaborar tu plan semanal, escribir el comentario de cada actividad y responder a lo que le preguntas en Entrenador.

• Proveedor. Lo hace Anthropic (modelos Claude, EE. UU.), como subencargado del tratamiento, con acuerdo de tratamiento de datos (DPA) y cláusulas contractuales tipo. Ver §5 y §6.
• Qué datos recibe. Tu perfil deportivo (edad, peso, umbrales, disponibilidad y experiencia), los resúmenes de tus actividades (título, fecha, duración, distancia, desnivel, pulso, potencia y ritmo, por sesión y por vuelta) y tus cargas de entrenamiento, tus objetivos y tus notas. Si los activas, también tus datos de bienestar y la fase de tu ciclo. No recibe los ficheros originales de tus actividades ni sus series completas (segundo a segundo o GPS). Esto incluye datos procedentes de dispositivos Garmin si conectas Garmin o una fuente que los traiga.
• Para qué. Solo para elaborar tu plan y tus análisis. Cada petición lleva únicamente tus datos: es inferencia individual, nunca se mezclan con los de otros usuarios.
• Sin entrenamiento de modelos. Tus datos no se usan para entrenar ni mejorar modelos de inteligencia artificial, ni nuestros ni de Anthropic. La política comercial de Anthropic para su API excluye el entrenamiento con datos de sus clientes.
• Cuánto se guardan. Anthropic conserva las peticiones durante el plazo limitado que fija su política para la API comercial y después las elimina; nosotros guardamos solo el resultado (tu plan, tu análisis) en tu cuenta.
• Tu consentimiento para los datos de Garmin. Antes de conectar Garmin te pedimos que marques una casilla aceptando que tus datos de Garmin se procesen con sistemas de inteligencia artificial para elaborar tu plan y tus análisis. Sin esa casilla no hay conexión.
• Cómo retirarlo. Desconecta Garmin en Perfil › Conexiones. Dejamos de recibir sus datos y borramos los que tuviéramos de esa fuente (actividades, ficheros y análisis). Puedes volver a conectarlo cuando quieras.
• Decisiones automatizadas (art. 22 RGPD). El plan es una recomendación de entrenamiento, no una decisión con efectos jurídicos ni que te afecte de forma significativa. Puedes cambiarlo cuando quieras y pedir que una persona lo revise escribiendo a privacidad@ciclopilot.com.
• Atribución. Si usas un dispositivo Garmin, tus planes y análisis se elaboran en parte con datos de dispositivos Garmin, y así lo indicamos en la aplicación.

El tratamiento de tus datos se basa en:

• Tu consentimiento (art. 6.1.a RGPD), otorgado al aceptar esta política en el registro.
• La ejecución del contrato (art. 6.1.b RGPD) para todo lo necesario para prestarte el servicio contratado.
• Interés legítimo (art. 6.1.f RGPD) para la analítica agregada de producto, en forma anonimizada.

En los correos: los de cuenta y pagos y los avisos de tu plan y de amigos y salidas forman parte del servicio contratado (art. 6.1.b RGPD); las novedades y ofertas solo te llegan con tu consentimiento expreso (art. 6.1.a RGPD y art. 21 de la Ley 34/2002, LSSI), que puedes retirar en cualquier momento.

Agrupamos los correos en cuatro tipos:

• Cuenta y pagos: enlaces de acceso, alta, cambios y cancelación de la suscripción, cobros fallidos y el aviso de que termina tu prueba o tu Pro de regalo. Son necesarios para prestarte el servicio y no se pueden desactivar mientras tengas cuenta.
• Tu plan: cuando tu plan está listo, recordatorios para conectar tu reloj si aún no nos llega ningún entreno, y el aviso de que terminó una importación de archivos. Activados por defecto.
• Amigos y salidas: solicitudes de amistad e invitaciones a entrenar juntos. Activados por defecto.
• Novedades y ofertas: funciones nuevas y ofertas. Desactivados por defecto: solo te llegan si los activas.

Puedes cambiarlo cuando quieras en Perfil → Cuenta y suscripción → Correos, con el enlace «Dejar de recibirlos» del pie de cada correo (funciona sin iniciar sesión) o con el botón «Cancelar suscripción» de tu programa de correo. La baja de un tipo no afecta a los demás.

No vendemos tus datos. Los únicos terceros con los que compartimos información son encargados del tratamiento que operan bajo contrato conforme al art. 28 RGPD, o fuentes de datos que tú mismo conectas:

• Supabase — base de datos, autenticación y almacenamiento de ficheros y streams de actividades. Proyecto alojado en la región UE (Estocolmo, Suecia).
• Anthropic (EE. UU.) — subencargado de inteligencia artificial: genera planes, análisis y respuestas de Entrenador a partir de tu contexto deportivo, con acuerdo de tratamiento de datos (DPA) y cláusulas contractuales tipo (ver 3 bis).
• Vercel (EE. UU.) — alojamiento de la aplicación web y analítica agregada sin cookies (Vercel Analytics + Core Web Vitals, siempre activa, no requiere consentimiento).
• Railway (UE, Países Bajos) — alojamiento de la API que procesa tus actividades y orquesta la generación de planes.
• Resend (EE. UU.) — envío de los correos descritos en «Correos que te enviamos». Recibe tu email y el contenido del mensaje.
• Stripe — procesamiento de pagos y gestión de suscripciones.
• Google — (a) inicio de sesión con Google, si eliges esa vía, en calidad de proveedor de identidad; (b) Google Analytics 4, analítica de tráfico con IP anonimizada (allow_google_signals: false), que solo se carga si das consentimiento explícito en el banner de cookies. Cubierto por el Data Processing Agreement de Google (art. 28 RGPD).
• Garmin Connect — únicamente si conectas Garmin: recibimos de Garmin tus actividades y no le enviamos nada. Garmin actúa como responsable independiente bajo su propia política.
• intervals.icu, Polar, Wahoo y Suunto — únicamente si conectas esa fuente, para recibir tus actividades (y, en intervals.icu, escribir tus entrenos planificados si lo activas). Actúan como responsables independientes bajo sus propias políticas; CicloPilot solo les envía la credencial que tú autorizas.

Tu base de datos está en la UE (Supabase, Estocolmo) y la API también (Railway, Países Bajos). Algunos encargados tratan datos en Estados Unidos: Anthropic (procesamiento de IA: perfil, resúmenes de actividades, métricas y, si los activas, bienestar y fase del ciclo), Resend (email), Vercel (alojamiento web; los datos transitan por sus servidores al servirte la aplicación), Stripe y Google. Estas transferencias se amparan en:

• Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión 2021/914), incorporadas en el acuerdo de tratamiento de datos de cada proveedor.
• El Marco de Privacidad UE-EEUU (EU-US Data Privacy Framework) cuando el proveedor esté certificado; en su defecto, las cláusulas contractuales tipo anteriores.

Puedes solicitarnos copia de las garantías aplicables escribiendo a privacidad@ciclopilot.com.

Conservamos tus datos mientras tengas cuenta activa. Si eliminas tu cuenta desde Perfil → Cuenta y suscripción → Tus datos, borramos de forma inmediata todos tus datos deportivos y de perfil (no quedan en backups activos más allá del ciclo estándar de copias de seguridad de Supabase, ~30 días).

Por obligación legal mantenemos:

• Facturas y justificantes Stripe: 4 años desde la emisión (art. 66 LGT prescripción tributaria) y hasta 6 años los justificantes contables (art. 30 Código de Comercio).
• Registro de auditoría RGPD: log mínimo de las solicitudes de acceso y borrado (sin datos personales más allá del identificador interno y la fecha) durante el plazo de prescripción de las obligaciones AEPD.

Estos datos quedan bloqueados (no se usan para ninguna otra finalidad). Puedes solicitarnos copia escribiendo a privacidad@ciclopilot.com.

En cualquier momento puedes ejercer los siguientes derechos:

• Acceso a los datos que tenemos de ti.
• Rectificación de datos inexactos.
• Supresión (derecho al olvido).
• Oposición a determinados tratamientos.
• Portabilidad de tus datos en formato estructurado.
• Limitación del tratamiento.
• Revocación del consentimiento en cualquier momento, sin efecto retroactivo.
• Retirar el consentimiento de Garmin: desconecta Garmin en Perfil › Conexiones. Dejamos de procesar sus datos y borramos los de esa fuente.

Puedes ejercer los derechos de acceso, portabilidad y supresión directamente y sin esperas desde tu cuenta: Perfil → Cuenta y suscripción → Tus datos. Allí encontrarás los botones “Exportar datos” (descarga inmediata en JSON estructurado de todo tu historial) y “Borrar cuenta” (elimina de forma permanente todos tus datos personales tras una confirmación de seguridad).

Si tu cuenta tiene una suscripción Pro activa, al borrar la cuenta cancelaremos automáticamente la suscripción en Stripe. Por obligación legal contable conservamos las facturas durante 4 años (art. 30 Código de Comercio + art. 66 LGT) y un registro mínimo de auditoría de las solicitudes RGPD para poder justificarlas ante la AEPD; estos datos no incluyen información personal más allá del identificador interno de la cuenta y la fecha del ejercicio del derecho.

Para los demás derechos (rectificación, oposición, limitación, revocación) o si tienes algún problema con el flujo self-serve, escríbenos a privacidad@ciclopilot.com desde el email asociado a tu cuenta. Respondemos en un máximo de 30 días (art. 12.3 RGPD).

Si consideras que no hemos atendido adecuadamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) (C/ Jorge Juan, 6 — 28001 Madrid).

CicloPilot usa el mínimo imprescindible de cookies para funcionar:

• Cookies de sesión de Supabase (técnicas, necesarias) — mantienen tu login y no requieren consentimiento conforme al art. 22 LSSI.
• Vercel Analytics — no usa cookies ni fingerprinting. Los datos son agregados y anonimizados.
• Google Analytics 4 (opcional) — solo se carga si lo aceptas en el banner de cookies. Puedes cambiar tu elección en cualquier momento desde "Preferencias de cookies" en el pie de página.

No usamos cookies de publicidad, tracking cross-site ni píxeles de terceros. Detalle en la política de cookies.