1. Responsable del tratamiento
Identidad: Gundo Health and Food, Sociedad Limitada ("GUNDO").
CIF: B16906497.
Domicilio: Calle Gordoniz, 53 — Entresuelo Izquierda, 48002 Bilbao, Vizcaya, España.
Delegado de Protección de Datos (DPO): Jean Pierre Lannou — [email protected].
Email general de privacidad: [email protected]. Email legal: [email protected].
2. Datos que recopilamos
• Datos de cuenta: nombre, email, contraseña hasheada, idioma, zona horaria, rol dentro de la organización.
• Datos de perfil de usuario final (productos B2C / mi.gundo.life): edad, sexo asignado al nacer, peso, altura, objetivos de salud, preferencias alimentarias, alergias e intolerancias declaradas, restricciones (vegetariano, halal, etc.).
• Datos de salud (categoría especial RGPD art. 9): respuestas a check-ins, marcadores subidos voluntariamente (analíticas de sangre, glucemia, hidratación), estado emocional auto-reportado, eventos de menstruación si la persona los registra. Solo si la persona los aporta voluntariamente con consentimiento explícito.
• Datos de uso: páginas vistas, clicks, tiempo en página, eventos de producto (escaneo, recomendaciones, compras), métricas de rendimiento web (Web Vitals).
• Identificadores técnicos: IP, user agent, ID de dispositivo o instalación, ID de sesión, identificadores de cookies y de píxeles publicitarios.
• Datos de pago: gestionados por nuestro proveedor de pagos (Stripe / MercadoPago); GUNDO solo recibe el ID de transacción, los últimos 4 dígitos y el estado del cobro. Nunca almacenamos el PAN ni el CVV.
• Datos de redes sociales conectadas (clientes B2B que usan marketing-hub): tokens OAuth de Meta/Instagram, LinkedIn, X/Twitter, TikTok y YouTube; identificadores de cuenta; métricas agregadas de las publicaciones que GUNDO genera o publica en nombre del cliente.
3. Finalidades y bases legales
1) Prestación del servicio (RGPD art. 6.1.b — ejecución de contrato): crear y mantener tu cuenta, calcular planes nutricionales, generar recetas, devolver recomendaciones de productos.
2) Tratamiento de datos de salud (RGPD art. 9.2.a — consentimiento explícito): personalizar planes, calcular score nutricional, derivar alertas de seguridad alimentaria.
3) Comunicación operativa y soporte (art. 6.1.b): enviar emails transaccionales (alta, recuperación de contraseña, factura, magic link).
4) Marketing propio a clientes/usuarios existentes (art. 6.1.f — interés legítimo, con derecho de oposición): newsletter de producto, anuncios de novedades. Puedes darte de baja en cada email o desde tu cuenta.
5) Analítica y mejora del producto (art. 6.1.a — consentimiento previo otorgado vía banner de cookies): GA4, Hotjar, Web Vitals. Sin tu consentimiento no se carga ninguno de estos scripts.
6) Publicidad y campañas en redes sociales (art. 6.1.a — consentimiento): Meta Ads, Google Ads, LinkedIn Ads. Solo se activan si aceptas la categoría "Marketing" en el banner de cookies.
7) Cumplimiento de obligaciones legales (art. 6.1.c): facturación electrónica, retención fiscal, AEPD, requerimientos judiciales.
8) Seguridad, prevención de fraude y rate-limiting (art. 6.1.f): logs de acceso, App Check, detección de abuso.
4. Plataformas Meta (Instagram + Facebook)
GUNDO utiliza la API de Instagram Graph y la Marketing API de Meta para publicar contenido en cuentas de Instagram y Facebook conectadas mediante OAuth por nuestros clientes B2B (no por usuarios finales). Esto forma parte del módulo "Marketing Hub" de la plataforma GUNDO.
Datos que procesamos: token de acceso OAuth de larga duración, identificador de usuario de Instagram ("ig user id") e identificador de Página de Facebook, identificador de la publicación creada por GUNDO, métricas agregadas de impresiones / alcance / engagement de esas publicaciones propias.
Datos que NO procesamos: NO accedemos a mensajes directos, NO accedemos a la lista de seguidores, NO accedemos a publicaciones de terceros, NO recopilamos datos personales de quienes interactúan con las publicaciones (likes, comentarios) más allá del recuento agregado que devuelve la API.
Almacenamiento y seguridad: los tokens OAuth se almacenan cifrados en GCP Secret Manager y se rotan automáticamente. Solo el sistema autenticado de GUNDO puede usarlos.
Eliminación de datos vinculados a Instagram: si quieres eliminar tus datos de Instagram tratados por GUNDO puedes solicitarlo desde https://gundo.life/data-deletion-instagram o enviar un email a [email protected]. También recibimos solicitudes automáticas a través de Meta cuando un usuario revoca el acceso a la app desde la configuración de Instagram. En ambos casos eliminamos en menos de 30 días: token OAuth, ID de usuario de Instagram, contenido publicado por GUNDO en esa cuenta y métricas asociadas.
6. Analítica y herramientas de medición
Google Analytics 4 (proveedor: Google Ireland Ltd.): medición de tráfico y comportamiento. Activación condicionada al consentimiento de la categoría "Analíticas".
Google Tag Manager: orquestador de tags. Cargado por defecto en modo Consent Mode v2 con todas las señales en "denied" hasta que aceptas cookies.
Hotjar (proveedor: Hotjar Ltd.): heatmaps y session recordings anónimas para mejora de UX. Solo se carga si aceptas la categoría "Analíticas".
Sentry (proveedor: Functional Software, Inc.): captura de errores de software. Es funcional y no almacena datos personales identificables del usuario.
7. Transferencias internacionales
Los datos se almacenan principalmente en infraestructura Google Cloud Platform en regiones de la Unión Europea (Frankfurt y Bélgica). Algunos servicios complementarios procesan datos en Estados Unidos:
• Google Cloud Platform (GCP) — proveedor principal, con cláusulas contractuales tipo (SCCs) y certificación bajo el marco EU-US Data Privacy Framework.
• Resend Inc. (envío de emails) — Estados Unidos, con SCCs y compromisos contractuales adicionales.
• Cloudflare, Inc. (CDN, WAF, DNS) — red global; los datos se procesan en el nodo más cercano al usuario.
• Stripe, Inc. y MercadoPago (pasarelas de pago) — su tratamiento se rige por sus propias políticas de privacidad.
• Meta Platforms Ireland Ltd. — para tokens y métricas asociados al Marketing Hub.
Todas las transferencias fuera del Espacio Económico Europeo cuentan con garantías adecuadas según el RGPD (cláusulas contractuales tipo y/o adecuación).
8. Plazos de conservación
• Datos de cuenta activa: mientras tengas cuenta y hasta 12 meses después del cierre.
• Datos de salud: mientras dure el consentimiento. Si lo retiras, se borran o anonimizan en menos de 30 días.
• Datos de facturación: 6 años (obligación fiscal española).
• Logs de acceso y seguridad: 12 meses.
• Tokens OAuth de redes sociales: hasta que el cliente revoca el acceso o desconecta la cuenta.
• Cookies analíticas: hasta 13 meses (config GA4 europea).
• Solicitudes de eliminación de Instagram: el código de confirmación se guarda 30 días para que puedas verificar el estado, después se purga.
9. Tus derechos
Tienes derecho a: acceso, rectificación, supresión ("derecho al olvido"), limitación, oposición, portabilidad de tus datos y a no ser objeto de decisiones automatizadas con efectos jurídicos significativos. También puedes retirar tu consentimiento en cualquier momento sin que ello afecte la licitud del tratamiento previo.
Para ejercerlos escríbenos a [email protected] o a [email protected]. Te pediremos prueba razonable de identidad para evitar suplantaciones. Respondemos en menos de 30 días (prorrogables 60 días en casos complejos).
10. Reclamaciones
Si consideras que no respetamos tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (AEPD) — www.aepd.es — o ante la autoridad de protección de datos del país de la UE donde resides.
11. Cambios a esta política
Podemos actualizar esta política. Si los cambios son materiales (nueva finalidad, nueva categoría de datos, nuevo subprocessor en jurisdicción no europea) te avisaremos por email a la dirección asociada a tu cuenta y/o por banner en el sitio. La fecha de "Última actualización" arriba refleja siempre la versión vigente.