1. Responsable del tratamiento
Identidad: Gundo Health and Food, Sociedad Limitada ("GUNDO").
CIF: B16906497.
Domicilio: Calle Gordoniz, 53 — Entresuelo Izquierda, 48002 Bilbao, Vizcaya, España.
Delegado de Protección de Datos (DPO): Jean Pierre Lannou — [email protected].
Email general de privacidad: [email protected]. Email legal: [email protected].
2. Datos que recopilamos
• Datos de cuenta: nombre, email, contraseña hasheada, idioma, zona horaria, rol dentro de la organización.
• Datos de perfil de usuario final (productos B2C / ultrapersonalizacion.gundo.life): edad, sexo asignado al nacer, peso, altura, objetivos de salud, preferencias alimentarias, alergias e intolerancias declaradas, restricciones (vegetariano, halal, etc.).
• Datos de salud (categoría especial RGPD art. 9): respuestas a check-ins, marcadores subidos voluntariamente (analíticas de sangre, glucemia, hidratación), estado emocional auto-reportado, eventos de menstruación si la persona los registra. Solo si la persona los aporta voluntariamente con consentimiento explícito.
• Datos de uso: páginas vistas, clicks, tiempo en página, eventos de producto (escaneo, recomendaciones, compras), métricas de rendimiento web (Web Vitals).
• Identificadores técnicos: IP, user agent, ID de dispositivo o instalación, ID de sesión, identificadores de cookies y de píxeles publicitarios.
• Datos de pago: gestionados por nuestro proveedor de pagos (Stripe / MercadoPago); GUNDO solo recibe el ID de transacción, los últimos 4 dígitos y el estado del cobro. Nunca almacenamos el PAN ni el CVV.
• Datos de redes sociales conectadas (clientes B2B que usan marketing-hub): tokens OAuth de Meta/Instagram, LinkedIn, X/Twitter, TikTok y YouTube; identificadores de cuenta; métricas agregadas de las publicaciones que GUNDO genera o publica en nombre del cliente.
3. Finalidades y bases legales
1) Prestación del servicio (RGPD art. 6.1.b — ejecución de contrato): crear y mantener tu cuenta, calcular planes nutricionales, generar recetas, devolver recomendaciones de productos.
2) Tratamiento de datos de salud (RGPD art. 9.2.a — consentimiento explícito): personalizar planes, calcular score nutricional, derivar alertas de seguridad alimentaria.
3) Comunicación operativa y soporte (art. 6.1.b): enviar emails transaccionales (alta, recuperación de contraseña, factura, magic link).
4) Comunicaciones comerciales por email a usuarios de nuestras apps (art. 6.1.a RGPD y art. 21 LSSI, consentimiento): novedades del producto, consejos y ofertas de GUNDO, solo si lo has aceptado expresamente. Frecuencia orientativa: normalmente no más de dos correos al mes. Puedes retirarlo cuando quieras desde tu cuenta o con el enlace de baja de cada email. A los clientes empresa con los que ya tenemos una relación contractual podemos enviarles información sobre productos similares a los contratados (art. 21.2 LSSI), con una forma gratuita y sencilla de oponerse en cada envío. Los datos de contacto profesional de la persona de contacto se tratan sobre la base del interés legítimo (art. 6.1.f RGPD y art. 19 LOPDGDD).
5) Analítica y mejora del producto (art. 6.1.a — consentimiento previo otorgado vía banner de cookies): GA4, Hotjar, Web Vitals. Sin tu consentimiento no se carga ninguno de estos scripts.
6) Publicidad y campañas en redes sociales (art. 6.1.a — consentimiento): Meta Ads, Google Ads, LinkedIn Ads. Solo se activan si aceptas la categoría "Marketing" en el banner de cookies.
7) Cumplimiento de obligaciones legales (art. 6.1.c): facturación electrónica, retención fiscal, AEPD, requerimientos judiciales.
8) Seguridad, prevención de fraude y rate-limiting (art. 6.1.f): logs de acceso, App Check, detección de abuso.
4. Plataformas Meta (Instagram + Facebook)
GUNDO utiliza la API de Instagram Graph y la Marketing API de Meta para publicar contenido en cuentas de Instagram y Facebook conectadas mediante OAuth por nuestros clientes B2B (no por usuarios finales). Esto forma parte del módulo "Marketing Hub" de la plataforma GUNDO.
Datos que procesamos: token de acceso OAuth de larga duración, identificador de usuario de Instagram ("ig user id") e identificador de Página de Facebook, identificador de la publicación creada por GUNDO, métricas agregadas de impresiones / alcance / engagement de esas publicaciones propias.
Datos que NO procesamos: NO accedemos a mensajes directos, NO accedemos a la lista de seguidores, NO accedemos a publicaciones de terceros, NO recopilamos datos personales de quienes interactúan con las publicaciones (likes, comentarios) más allá del recuento agregado que devuelve la API.
Almacenamiento y seguridad: los tokens OAuth se almacenan cifrados en GCP Secret Manager y se rotan automáticamente. Solo el sistema autenticado de GUNDO puede usarlos.
Eliminación de datos vinculados a Instagram: si quieres eliminar tus datos de Instagram tratados por GUNDO puedes solicitarlo desde https://gundo.life/data-deletion-instagram o enviar un email a [email protected]. También recibimos solicitudes automáticas a través de Meta cuando un usuario revoca el acceso a la app desde la configuración de Instagram. En ambos casos eliminamos en menos de 30 días: token OAuth, ID de usuario de Instagram, contenido publicado por GUNDO en esa cuenta y métricas asociadas.
6. Analítica y herramientas de medición
Google Analytics 4 (proveedor: Google Ireland Ltd.): medición de tráfico y comportamiento. Activación condicionada al consentimiento de la categoría "Analíticas".
Google Tag Manager: orquestador de tags. Cargado por defecto en modo Consent Mode v2 con todas las señales en "denied" hasta que aceptas cookies.
Hotjar (proveedor: Hotjar Ltd.): heatmaps y session recordings anónimas para mejora de UX. Solo se carga si aceptas la categoría "Analíticas".
Sentry (proveedor: Functional Software, Inc.): captura de errores de software. Es funcional y no almacena datos personales identificables del usuario.
7. Transferencias internacionales
Los datos se almacenan principalmente en infraestructura Google Cloud Platform en regiones de la Unión Europea (Frankfurt y Bélgica). Algunos servicios complementarios procesan datos en Estados Unidos:
• Google Cloud Platform (GCP) — proveedor principal, con cláusulas contractuales tipo (SCCs) y certificación bajo el marco EU-US Data Privacy Framework.
• Plus Five Five, Inc. («Resend»), Estados Unidos — envío de emails, incluidas las comunicaciones comerciales a usuarios de nuestras apps que las han aceptado. Está adherida al Marco de Privacidad de Datos UE-EE. UU., declarado adecuado por la Comisión Europea (Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023), y la transferencia se ampara además en las cláusulas contractuales tipo.
• Amazon Web Services EMEA SARL (Amazon SES, región UE de Irlanda) — envío de las comunicaciones a clientes empresa desde mail.gundo.life. Estos datos se tratan dentro de la UE.
• Cloudflare, Inc. (CDN, WAF, DNS) — red global; los datos se procesan en el nodo más cercano al usuario.
• Stripe, Inc. y MercadoPago (pasarelas de pago) — su tratamiento se rige por sus propias políticas de privacidad.
• Meta Platforms Ireland Ltd. — para tokens y métricas asociados al Marketing Hub.
Todas las transferencias fuera del Espacio Económico Europeo cuentan con garantías adecuadas según el RGPD (cláusulas contractuales tipo y/o adecuación).
8. Plazos de conservación
• Datos de cuenta activa: mientras tengas cuenta y hasta 12 meses después del cierre.
• Datos de salud: mientras dure el consentimiento. Si lo retiras, se borran o anonimizan en menos de 30 días.
• Datos de facturación: 6 años (obligación fiscal española).
• Logs de acceso y seguridad: 12 meses.
• Registro de tu consentimiento para comunicaciones comerciales (fecha en que lo diste o lo retiraste, versión del texto aceptado y desde dónde lo hiciste): mientras tengas cuenta y, después, bloqueado durante 3 años desde la baja, para poder acreditarlo ante una reclamación. Pasado ese plazo se destruye. Solo conservamos un registro mínimo con tu correo y tu identificador seudonimizados, y únicamente lo consultamos para atender una reclamación o un requerimiento de una autoridad.
• Registro de tu consentimiento para el tratamiento de datos de salud y para el uso de proveedores de inteligencia artificial (fecha, versión del texto aceptado e idioma): mismo régimen que el anterior, mientras tengas cuenta y, después, bloqueado durante 3 años desde la baja, con tu correo y tu identificador seudonimizados. Deja constancia de que aceptaste y de cuándo; no contiene ningún dato de salud.
• Lista de exclusión: si te das de baja de las comunicaciones comerciales o borras tu cuenta, guardamos tu correo en una lista de exclusión por tiempo indefinido, con la única finalidad de no volver a escribirte (art. 23.1 LOPDGDD). Puedes pedirnos que lo borremos en [email protected], aunque entonces dejaremos de tener constancia de que no querías recibir nada. También puedes inscribirte en los sistemas de exclusión publicitaria cuya existencia publica la Agencia Española de Protección de Datos (art. 23.3 LOPDGDD).
• Tokens OAuth de redes sociales: hasta que el cliente revoca el acceso o desconecta la cuenta.
• Cookies analíticas: hasta 13 meses (config GA4 europea).
• Solicitudes de eliminación de Instagram: el código de confirmación se guarda 30 días para que puedas verificar el estado, después se purga.
9. Tus derechos
Tienes derecho a: acceso, rectificación, supresión ("derecho al olvido"), limitación, oposición, portabilidad de tus datos y a no ser objeto de decisiones automatizadas con efectos jurídicos significativos. También puedes retirar tu consentimiento en cualquier momento sin que ello afecte la licitud del tratamiento previo.
Para ejercerlos escríbenos a [email protected] o a [email protected]. Te pediremos prueba razonable de identidad para evitar suplantaciones. Respondemos en menos de 30 días (prorrogables 60 días en casos complejos).
10. Reclamaciones
Si consideras que no respetamos tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es — o ante la autoridad de protección de datos del país de la UE donde resides.
11. Cambios a esta política
Podemos actualizar esta política. Si los cambios son materiales (nueva finalidad, nueva categoría de datos, nuevo subprocessor en jurisdicción no europea) te avisaremos por email a la dirección asociada a tu cuenta y/o por banner en el sitio. La fecha de "Última actualización" arriba refleja siempre la versión vigente.