Política de Privacidad de Sabrio

Última actualización: 5 de octubre de 2026

Sabrio es una aplicación de nutrición y fitness disponible para iPhone y Android. Tratamos datos de salud, que el RGPD considera categoría especial (art. 9). Esta política explica qué datos tratamos, con qué base jurídica, con quién los compartimos y qué derechos tienes. Nos tomamos esto en serio: tus datos de salud nunca se usan para publicidad ni se venden.

1. Responsable del tratamiento

• Responsable: Sergio López Domenech (NIF 53380840W)
• Dirección: Calle General Arrando 16, 12200 Onda (Castellón), España
• Contacto: bombapdev@gmail.com
• Delegado de Protección de Datos (DPO): no designado (no obligatorio para esta actividad; a revisar con asesoría si cambia la escala del tratamiento)

2. Qué datos tratamos

Fotos de comida: la imagen del plato se envía a nuestro proveedor de IA para reconocer el alimento; ver §4. Cookies: nuestra web no utiliza cookies de análisis, de publicidad ni de terceros; solo carga recursos propios (hoja de estilos e imágenes). Por eso no verás un banner de consentimiento: no hay nada que consentir más allá de lo estrictamente técnico (art. 22.2 de la Ley 34/2002, LSSI). La App no usa cookies de seguimiento ni el identificador publicitario del dispositivo —ni el IDFA de iOS ni el Advertising ID de Android—, y en iPhone no solicita permiso de seguimiento (ATT) porque no rastrea.

No usamos analítica de terceros: las estadísticas de uso se calculan en nuestra propia base de datos en la UE, no se envían a ninguna plataforma externa de analítica.

Notificaciones. Si lo autorizas, la App te envía recordatorios locales (comidas, entrenos) y notificaciones push desde nuestro servidor. Para las push registramos un identificador de dispositivo, que solo sirve para entregarte el aviso. Ese identificador y el texto del aviso pasan necesariamente por el servicio de mensajería del sistema operativo —APNs de Apple en iPhone y Firebase Cloud Messaging de Google en Android (ver §4)—, porque en ninguna de las dos plataformas existe otra forma de entregar una notificación.

Qué va dentro del aviso, y por qué te lo contamos. El texto es la primera frase de tu resumen de salud de la mañana, así que puede contener datos de salud tuyos: por ejemplo cuánto dormiste anoche, tus pasos del día anterior o tu variabilidad cardíaca, comparados con tu propia media. Dos consecuencias que conviene que conozcas: ese texto lo ve el servicio de mensajería (Apple o Google) al entregarlo, y aparece en la pantalla de bloqueo de tu móvil, donde puede leerlo quien tenga el teléfono delante. Si prefieres que no ocurra, tienes dos formas de evitarlo y ninguna te quita nada más de la App: desactivar el resumen de la mañana desde Perfil (el análisis sigue estando completo dentro de la App) o configurar tu sistema para que oculte el contenido de las notificaciones en la pantalla de bloqueo. También puedes desactivar todas las notificaciones de Sabrio desde los Ajustes del sistema.

Señales «Do Not Track». Los navegadores y algunos sistemas móviles ofrecen una señal DNT. No existe un estándar consolidado sobre cómo atenderla, así que no respondemos a señales DNT; en la práctica da igual, porque no hacemos seguimiento entre sitios ni con terceros. Si algún día se adopta un estándar obligatorio, lo aplicaremos y actualizaremos esta política.

3. Con qué finalidad y base jurídica

Puedes retirar tu consentimiento en cualquier momento (Perfil → gestión de datos o el email de contacto); dejaremos de tratar tus datos de salud, lo que puede impedir seguir prestándote el servicio.

3.1 Qué datos son obligatorios y qué pasa si no los facilitas

Los datos de cuenta y perfil (sexo, edad, altura, peso, objetivo, nivel de actividad) son necesarios para prestarte el servicio: son la entrada del cálculo nutricional, así que sin ellos la App no puede funcionar. No es una obligación legal, sino un requisito del contrato.

El resto es voluntario: lesiones, condiciones de salud, fotos de progreso y la conexión con el almacén de salud de tu móvil (Apple Salud o Health Connect). Si no los facilitas, la App funciona igual, pero las recomendaciones serán menos precisas y no podremos avisarte de incompatibilidades.

Si retiras el consentimiento para tratar tus datos de salud, dejaremos de tratarlos; como toda la personalización se apoya en ellos, eso impide seguir prestándote el servicio y podrás dar de baja la suscripción.

3.2 Decisiones automatizadas y elaboración de perfiles

Queremos ser transparentes en esto: Sabrio te perfila, en el sentido del art. 4.4 RGPD. A partir de tu perfil, tus objetivos y lo que registras, el sistema calcula automáticamente tus objetivos nutricionales, genera menús y ajusta las propuestas de entreno y recuperación.

Lógica aplicada, en resumen: estimamos tu gasto energético a partir de sexo, edad, altura, peso y nivel de actividad; lo repartimos en macronutrientes según tu objetivo; y filtramos alimentos y ejercicios según tus alergias, intolerancias, lesiones y material disponible. El coach de IA redacta las explicaciones sobre esa base.

Consecuencias para ti: estas decisiones no producen efectos jurídicos ni te afectan significativamente de modo similar, por lo que no entran en la prohibición del art. 22.1 RGPD. Son recomendaciones de bienestar: puedes editarlas, ignorarlas o sustituirlas en cualquier momento, y no condicionan tu acceso al servicio, su precio ni ningún derecho. No usamos perfilado para publicidad, ni para decidir precios, ni para denegarte nada.

Aun así, si una recomendación automática te parece incorrecta puedes pedir intervención humana, expresar tu punto de vista e impugnarla escribiendo a bombapdev@gmail.com.

Si algún día una decisión automática pasara a condicionar tu precio, tu acceso al servicio o cualquier otro derecho, dejaría de estar fuera del art. 22.1 y te lo comunicaríamos antes de aplicarlo, con las garantías que esa norma exige.

4. Con quién compartimos tus datos (encargados y terceros)

No vendemos tus datos. Los compartimos solo con proveedores que nos ayudan a prestar el servicio, como encargados del tratamiento, con las garantías del art. 28:

Publicidad: Sabrio no incluye SDK de redes publicitarias ni de analítica de terceros (no hay SDK de Meta, Google Analytics, Firebase Analytics, Crashlytics, PostHog ni similares) y no comparte datos de salud con plataformas de ads. Las únicas librerías externas de la App son las del propio sistema operativo (Apple en iPhone; en Android, Health Connect, el escáner de Google Play services y únicamente el módulo de mensajería de Firebase, que es el transporte de las notificaciones) más Supabase y RevenueCat.

Pagos: no recibimos ni almacenamos tu tarjeta ni tus datos de facturación. La compra se realiza en la tienda de tu dispositivo —App Store o Google Play—, que actúa como vendedor frente a ti; nosotros solo recibimos de RevenueCat un identificador y el estado de tu suscripción.

4.1 Inicio de sesión con Apple y con Google

Si entras con Sign in with Apple o con Google, el proveedor nos devuelve un identificador y tu email —el que tú elijas: Apple permite ocultar el real y darnos una dirección de reenvío—. No recibimos tu lista de contactos, tu foto de perfil ni tu actividad en esos servicios, y no publicamos nada en ellos. Lo que ese proveedor haga con el hecho de que has iniciado sesión se rige por su propia política, no por esta.

Compromiso sobre las API de Google: el uso que hacemos de la información recibida de las API de Google se ajusta a la Google API Services User Data Policy, incluidos sus requisitos de Uso Limitado (Limited Use).

4.3 Alergias que todavía no sabemos filtrar

Sabrio sabe excluir automáticamente un conjunto de alérgenos. Si declaras otro distinto, la app te deja escribirlo y te avisa de que todavía no puede garantizar tu plan: mientras tanto no generamos menús para ti, en lugar de servirte comida que no hemos podido comprobar.

Para poder añadir ese alérgeno al catálogo, ese texto sale de nuestro servidor: se envía por correo (a través de Resend, ver la tabla de arriba) al buzón de contacto bombapdev@gmail.com, que es el que figura en el §1 de esta política.

• Qué se envía: únicamente el texto de la alergia tal y como tú lo escribes y un identificador interno de la petición.
• Qué NO se envía: tu nombre, tu email, tu identificador de usuario ni ningún otro dato tuyo. Para añadir un alérgeno al catálogo no hace falta saber de quién es.
• Base jurídica: tu consentimiento explícito para el tratamiento de datos de salud (art. 9.2.a RGPD), el mismo que aceptas en el onboarding, junto con la ejecución del contrato (art. 6.1.b): sin esto no podemos prestarte el servicio para tu caso.
• Cuánto dura: conservamos la petición mientras el alérgeno no esté soportado y, después, el tiempo necesario para poder avisarte de que ya lo está. Puedes pedir su supresión en cualquier momento (§8), y se borra también si eliminas tu cuenta.

4.2 Transmisión del negocio

Si algún día Sabrio se vende, se fusiona o se transmite total o parcialmente, tus datos podrían pasar al adquirente como parte de esa operación y solo para seguir prestándote el mismo servicio. Te lo comunicaríamos antes de que ocurriera, y podrías ejercer tus derechos —incluida la supresión— antes de la transmisión. No venderemos tus datos de salud como un activo separado del servicio.

5. Datos de salud del dispositivo (Apple Salud y Health Connect)

Tu móvil guarda datos de salud en un almacén del propio sistema: Apple Salud (HealthKit) en iPhone y Health Connect en Android. Sabrio se conecta a ese almacén solo si tú lo autorizas, y el tratamiento es el mismo en las dos plataformas.

Qué leemos, y únicamente las métricas que autorices, para personalizar tu plan y mostrarte tu evolución: pasos, distancia caminando/corriendo, energía activa, sueño, frecuencia cardíaca, frecuencia cardíaca en reposo, variabilidad de la frecuencia cardíaca (VFC), frecuencia respiratoria, saturación de oxígeno, temperatura, peso, porcentaje de grasa corporal, masa magra y entrenos; y, solo si lo autorizas por separado, el ciclo menstrual (flujo menstrual), para ajustar tu plan.

Desde cuándo. Leemos como mucho el último año de esas métricas, igual en las dos plataformas: es lo que hace que tu evolución y tus líneas base tengan sentido desde el primer día. En Android, Health Connect solo deja leer por defecto los 30 días anteriores a tu autorización; para el resto del año te pedimos además el permiso de leer el historial, que es opcional: si no lo concedes, la App funciona igual con el último mes. No amplía qué datos leemos, solo desde cuándo.

Qué escribimos, también solo si lo autorizas: devolvemos al almacén del sistema lo que registras en Sabrio —peso y composición corporal, entrenos y la nutrición de cada comida que registras (calorías y proteína, carbohidratos, grasa y fibra)—, para que tengas todo tu historial en un único sitio. Escribir es opcional y va aparte de leer: puedes conceder solo lectura, solo escritura o ninguna de las dos. Esos datos se quedan en tu teléfono, dentro de tu app de Salud: escribirlos no es enviarlos a ninguna parte.

A dónde van. Lo que leemos sí viaja a nuestro servidor (Supabase, en la UE): es lo que permite calcular tu evolución, tus líneas base y el análisis diario, que no se pueden hacer en el móvil. Lo que nunca ocurre es lo que estas API prohíben expresamente y nosotros cumplimos: estos datos no se usan para publicidad, no se comparten con terceros con ese fin, no se guardan en un iCloud nuestro ni se envían a ninguna analítica. Puedes revocar el acceso cuando quieras: en iPhone desde la app Salud (tu foto de perfil → Privacidad → Apps) o en Ajustes → Privacidad y seguridad → Salud, y en Android desde la pantalla de Health Connect en los Ajustes del sistema.

6. Transferencias internacionales

Los datos de tu cuenta se almacenan en la Unión Europea (Supabase, Fráncfort). Cinco proveedores tratan datos fuera del Espacio Económico Europeo, y en los cinco casos la transferencia se ampara en las garantías del art. 46 RGPD o en una decisión de adecuación que el propio proveedor declara. Conviene distinguir el alcance: Google (Gemini) llega a ver contenido de salud, y Firebase ve el texto de la notificación, que puede llevar un dato de salud (ver §2); RevenueCat y Vercel no ven ninguno.

Puedes solicitarnos una copia de las garantías aplicables escribiendo a bombapdev@gmail.com.

7. Cuánto tiempo conservamos tus datos

Conservamos tus datos mientras tu cuenta esté activa. Si eliminas tu cuenta:

Sobre la contabilidad: como la venta la realiza la tienda (Apple o Google), nuestros registros contables no contienen tus datos personales —facturamos a Apple o a Google, no a ti—, solo liquidaciones e identificadores de transacción.

Podemos conservar de forma anonimizada métricas de coste y uso que ya no permiten identificarte.

8. Tus derechos

Tienes derecho a acceder, rectificar, suprimir, portar (recibir tus datos en formato legible), oponerte, limitar el tratamiento y retirar el consentimiento. Desde la propia app puedes exportar tus datos y eliminar tu cuenta. Para cualquier otro ejercicio, escríbenos a bombapdev@gmail.com. Puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Si crees que hemos gestionado mal tus datos, escríbenos primero: acusaremos recibo en un plazo máximo de 30 días, investigaremos sin dilación indebida y te explicaremos el resultado. Esto no sustituye ni retrasa tu derecho a reclamar directamente ante la AEPD (aepd.es) o ante la autoridad de control de tu país de residencia, que puedes ejercer cuando quieras.

9. Menores

Sabrio no está dirigida a menores de 16 años. No recogemos datos a sabiendas de menores de esa edad; si detectamos una cuenta de un menor, la eliminaremos.

10. Seguridad

Ciframos los datos en tránsito y en reposo, aplicamos control de acceso por fila (cada usuario solo accede a lo suyo) y las claves de los servicios viven en el servidor, nunca en la app.

11. Cambios en esta política

Si cambiamos qué datos tratamos o con quién los compartimos —por ejemplo, si añadimos un proveedor de IA o una herramienta de analítica—, te lo comunicaremos antes de aplicarlo y, cuando la ley lo exija, te pediremos de nuevo tu consentimiento.

12. Aviso de salud

Sabrio es una herramienta de bienestar, no un producto sanitario: no sustituye el consejo, el diagnóstico ni el tratamiento de un profesional sanitario.

Contacto: bombapdev@gmail.com · Sergio López Domenech, Calle General Arrando 16, 12200 Onda (Castellón), España