Esta política explica cómo NAKA LABS S.L. trata los datos personales de quienes usan la aplicación Vela y este sitio web, de acuerdo con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
Vela trata datos de salud, que son categoría especial. Esta política dice exactamente cuáles, por qué y con qué base jurídica. Si algo no te encaja, puedes borrar tu cuenta entera en cualquier momento y con ella todos tus datos.
1. Responsable del tratamiento
- Responsable: NAKA LABS S.L. (nombre comercial NakaLabs)
- CIF: B75788034
- Domicilio: Paseo de la Castellana 95, 28046 Madrid (España)
- Correo de privacidad: carlos@nakalabs.es
- Web: https://nakalabs.es
No hay delegado de protección de datos designado: el tratamiento no reúne los supuestos del artículo 37 del RGPD. Las solicitudes las atiende directamente el responsable en el correo de arriba.
2. A qué se aplica
A la app Vela para iOS y Android, a la API que la sostiene y a este sitio web, incluidas las páginas de eliminar cuenta y descargar datos.
Vela es un producto de bienestar y organización personal. No es un producto sanitario, no hace diagnósticos y no sustituye a un profesional de la salud.
3. Qué datos tratamos
Agrupados como los declara la ficha de privacidad de las tiendas:
| Categoría | Qué incluye |
|---|---|
| Datos de contacto | Tu correo electrónico. Es lo único que hace falta para tener cuenta: Vela no usa contraseñas, se entra con un código de un solo uso o con Apple/Google. |
| Identificadores | El identificador interno de tu cuenta, el identificador que devuelven Apple o Google si entras con ellos, y el token de notificaciones de cada dispositivo donde tengas Vela. |
| Contenido del usuario | Tus notas de check-in y de día, los nombres que pones a bloques y misiones, tus recetas y listas, tu foto de perfil y, si usas el escáner de nevera, las fotos que hagas. |
| Datos de salud y forma física | Horas de sueño, energía y estado de ánimo, peso, entrenamientos y minutos de actividad, lesiones o molestias que declares, alergias y preferencias dietéticas. |
| Datos de uso | Qué días registras actividad y cuántos minutos por área. Es lo que alimenta tu resumen mensual; no se usa para publicidad. |
| Datos técnicos | Dirección IP y datos mínimos de la petición, para aplicar los límites de uso, prevenir abusos y registrar errores. |
Vela no pide tu ubicación, tu agenda de contactos ni acceso a tus otras apps de salud. No hay identificadores de publicidad ni SDK de terceros de seguimiento dentro de la app.
4. Datos de salud: categoría especial
El sueño, el peso, el entrenamiento, el estado de ánimo, las lesiones, las alergias y las preferencias dietéticas son datos relativos a la salud y, por tanto, categoría especial de datos del artículo 9.1 del RGPD.
La base jurídica de su tratamiento es tu consentimiento explícito (artículo 9.2.a del RGPD), que das al introducirlos en la app después de haber sido informado por esta política. No hay otra base: sin ese consentimiento, esos campos simplemente no se rellenan y Vela funciona con lo que le quede.
Puedes retirar el consentimiento en cualquier momento, sin dar explicaciones, borrando tu cuenta desde la app (Me → Eliminar cuenta) o desde esta web. La retirada borra los datos de salud junto con el resto de la cuenta, de forma inmediata e irreversible. Retirar el consentimiento no afecta a la licitud del tratamiento anterior.
Estos datos se usan solo para construir tu plan y tu resumen mensual. No se comunican a compañías de seguros, empleadores, anunciantes ni a ningún tercero fuera de los encargados listados más abajo, que solo los alojan o transportan por cuenta del responsable.
5. Finalidades y bases jurídicas
| Finalidad | Base jurídica |
|---|---|
| Crear y mantener tu cuenta y darte acceso a la app. | Ejecución del contrato (art. 6.1.b RGPD). |
| Enviar el código de un solo uso para iniciar sesión. | Ejecución del contrato (art. 6.1.b RGPD). |
| Construir tu día, tu semana, tus comidas y tu entreno a partir de tus check-ins. | Ejecución del contrato (art. 6.1.b) y, para los datos de salud, consentimiento explícito (art. 9.2.a RGPD). |
| Escribir tu resumen mensual en Memory. | Ejecución del contrato (art. 6.1.b) y consentimiento explícito para la parte de salud (art. 9.2.a RGPD). |
| Enviarte notificaciones sobre tus bloques, tu check-in o tu lista de la compra. | Consentimiento, que gestionas desde los ajustes de la app y de tu dispositivo (art. 6.1.a RGPD). |
| Enlazar tu cuenta con la de tu pareja cuando canjeas un código de invitación. | Consentimiento (art. 6.1.a RGPD): el enlace lo inicias tú y lo puedes deshacer. |
| Publicar un mes tuyo en una página con enlace no listado cuando pulsas compartir. | Consentimiento (art. 6.1.a RGPD), revocable desde la app. |
| Generar la exportación de tus datos cuando la pides. | Obligación legal de atender el derecho de acceso y portabilidad (art. 6.1.c, arts. 15 y 20 RGPD). |
| Aplicar límites de uso, prevenir abusos y mantener el servicio seguro. | Interés legítimo en la seguridad del servicio (art. 6.1.f RGPD). |
| Registrar errores para poder arreglarlos. | Interés legítimo en el correcto funcionamiento del servicio (art. 6.1.f RGPD). |
| Atender tus consultas de soporte. | Ejecución del contrato e interés legítimo en atenderte (art. 6.1.b y 6.1.f RGPD). |
| Cumplir obligaciones legales, contables y fiscales. | Cumplimiento de obligaciones legales (art. 6.1.c RGPD). |
6. Encargados y subencargados
Vela no vende datos ni los cede a terceros para sus propios fines. Sí se apoya en proveedores que tratan datos por cuenta del responsable y siguiendo sus instrucciones, con el correspondiente contrato de encargo del artículo 28 del RGPD:
| Proveedor | Para qué | Qué datos toca |
|---|---|---|
| MongoDB, Inc. (MongoDB Atlas) | Base de datos donde vive tu cuenta. | Todos los datos de la cuenta, incluidos los de salud. |
| Vercel Inc. | Alojamiento de la API y de esta web. | Los datos en tránsito de cada petición y los registros técnicos. |
| Cloudflare, Inc. (R2) | Almacenamiento de ficheros: foto de perfil y exportaciones. | Imágenes que subas y el ZIP de exportación. |
| Upstash, Inc. (Redis) | Códigos de un solo uso con caducidad y límites de uso. | Tu correo y el código, guardado siempre cifrado con función hash. |
| Google Ireland Limited (Gmail / Google Workspace) | Envío del correo con tu código y de los avisos de cuenta. | Tu correo electrónico y el contenido del mensaje. |
| Functional Software, Inc. (Sentry) | Registro de errores del servidor. | Datos técnicos del error; no se envían tus check-ins ni tus notas. |
| Apple Inc. | Inicio de sesión con Apple y entrega de notificaciones en iOS. | El identificador de tu cuenta Apple y el token del dispositivo. |
| Google LLC | Inicio de sesión con Google y entrega de notificaciones en Android. | El identificador de tu cuenta Google y el token del dispositivo. |
| Expo (650 Industries, Inc.) | Servicio de envío de notificaciones push. | El token de notificaciones del dispositivo. |
Cuando entras con Apple o con Google, esas empresas actúan además como responsables independientes del tratamiento que hacen de tu cuenta con ellos, según sus propias políticas.
También se comunicarán datos cuando exista una obligación legal o un requerimiento válido de una autoridad competente.
7. Transferencias internacionales
Algunos de los proveedores anteriores son empresas estadounidenses y pueden tratar datos fuera del Espacio Económico Europeo. En esos casos la transferencia se ampara en las garantías del artículo 46 del RGPD —cláusulas contractuales tipo de la Comisión Europea— o, cuando corresponde, en el marco de adecuación aplicable, junto con las medidas adicionales que procedan.
Puedes pedir copia de las garantías aplicadas escribiendo al correo de privacidad.
8. Conservación y borrado
- Mientras tu cuenta exista, tus datos se conservan para poder prestarte el servicio.
- Al eliminar la cuenta, el borrado es inmediato e irreversible. No hay archivado, ni copia desactivada, ni período de gracia: se borran el perfil, los días, las semanas, las comidas, las misiones, Memory, los ficheros y los enlaces compartidos.
- Las exportaciones de datos que generas se guardan en un enlace privado que caduca a los 7 días, tras los cuales el fichero se elimina.
- Los enlaces de mes compartido viven hasta que los revocas desde la app o hasta que borras tu cuenta.
- Los códigos de un solo uso caducan a los 10 minutos y desaparecen en cuanto se usan.
- Los registros técnicos y de error se conservan el tiempo mínimo necesario para diagnosticar incidencias y, en su caso, los plazos que exija la ley.
Las copias de seguridad de la base de datos pueden retener información durante un período corto adicional por motivos técnicos; se sobrescriben en su rotación normal y no se usan para restaurar cuentas borradas.
9. Compartir un mes y exportar datos
Las dos funciones que sacan datos fuera de tu cuenta lo hacen mediante enlaces no listados: una dirección larga e impredecible que no aparece en buscadores ni en índice alguno, pero que no está protegida por contraseña. Cualquiera que tenga el enlace puede abrirlo.
- La página de un mes compartido no incluye tu nombre ni tu correo, solo el resumen del mes. Puedes revocarla en cualquier momento desde la app.
- El ZIP de exportación sí contiene todos tus datos, incluidos los de salud. Trátalo como un documento sensible y no lo reenvíes. Caduca a los 7 días.
10. Tus derechos
Puedes ejercer en cualquier momento los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, así como retirar el consentimiento cuando el tratamiento se base en él.
- Acceso y portabilidad: descarga tus datos desde la app (Me → Exportar datos) o desde esta web.
- Supresión y retirada del consentimiento: borra tu cuenta desde la app (Me → Eliminar cuenta) o desde esta web.
- Rectificación: puedes corregir tu perfil y tus registros dentro de la app.
- Cualquier otro derecho: escribe a carlos@nakalabs.es. Podremos pedirte información razonable para verificar tu identidad y responderemos en el plazo de un mes.
Si consideras que el tratamiento no se ajusta a la normativa, puedes reclamar ante la Agencia Española de Protección de Datos.
11. Menores
Vela no se dirige a menores de 16 años y no está pensada para su uso. No recogemos datos de menores de esa edad a sabiendas. Si detectamos una cuenta de un menor de 16 años, la eliminaremos. Si crees que un menor a tu cargo ha creado una cuenta, escríbenos y la borramos.
12. Lo que Vela no hace
- No hay publicidad en la app ni en esta web, ni identificadores publicitarios.
- No vendemos ni alquilamos datos personales, ni los cedemos a intermediarios de datos.
- No hay decisiones automatizadas ni perfilado con efectos jurídicos o que te afecten significativamente de modo similar (art. 22 RGPD). Que Vela recorte tu tarde porque dormiste poco es una sugerencia dentro de la app, y la última palabra siempre es tuya.
- No hay analítica de terceros ni rastreo entre sitios.
13. Funciones que hoy no están activas
La transcripción de voz y el reconocimiento de imagen aparecen en la app, pero hoy no están conectados: no se envía audio ni se analizan fotos con ningún proveedor. Cuando se activen, esta política se actualizará antes, nombrando al proveedor y su base jurídica.
14. Seguridad
Todo el tráfico viaja cifrado (HTTPS). Los códigos de acceso se guardan cifrados con función hash y con caducidad, nunca en claro. Las sesiones son tokens de vida corta y las de esta web, además, una cookie técnica que solo dura 15 minutos. El acceso a la base de datos está restringido y se aplican límites de uso para frenar abusos.
Ningún sistema es infalible. Si se produjera una brecha que suponga un riesgo para tus derechos, se notificará a la autoridad de control y, cuando proceda, a las personas afectadas, en los plazos del RGPD.
15. Cambios en esta política
Podemos actualizar esta política por cambios normativos, técnicos o funcionales. La versión vigente es siempre la publicada en esta página con su fecha de actualización. Si el cambio afecta al tratamiento de datos de salud o amplía las finalidades, se avisará dentro de la app y, cuando la ley lo exija, se pedirá un consentimiento nuevo.
Este documento es una plantilla informativa y debe revisarlo un profesional jurídico antes de su publicación definitiva.