Política de privacidad

1. Responsable del tratamiento

El responsable del tratamiento en el sentido del Reglamento General de Protección de Datos (RGPD) es: VeloWatt UG (haftungsbeschränkt) Hoher Weg 3, 26605 Aurich Alemania Representada por: Niels Meereboer, administrador (Geschäftsführer) Correo electrónico: support@ridevelowatt.com Formulario de contacto: https://api.ridevelowatt.com/contact?lang=es

Para cualquier pregunta sobre tus datos, escríbenos a support@ridevelowatt.com.

2. Alcance y lo que no hacemos

Esta política abarca este sitio web (ridevelowatt.com), el servicio de cuentas que usan la app y las páginas de la cuenta (api.ridevelowatt.com), la app VeloWatt Pro, rodar con otras personas y los servicios de entrenamiento que puedes vincular. VeloWatt Pro está pensado para personas de 18 años o más.

Lo que no hacemos:

• no vendemos tus datos ni los compartimos con fines publicitarios; las comunicaciones de datos para los pagos, los servicios de entrenamiento que vinculas y las salidas compartidas se describen más abajo;
• no mostramos publicidad ni usamos seguimiento en este sitio web ni en la app;
• no guardamos tu frecuencia cardiaca en nuestros servidores (sección 6);
• no elaboramos perfiles sobre ti ni combinamos tus datos con datos de otras fuentes;
• no leemos ni grabamos lo que ves mientras ruedas sobre un vídeo.

3. Este sitio web

Este sitio web no instala cookies, no usa herramientas de analítica y no carga contenido de terceros; las fuentes, las imágenes y los vídeos se sirven desde nuestro propio servidor. La página de la cuenta en api.ridevelowatt.com instala una cookie para mantener tu sesión iniciada (sección 4).

Para servir una página, el servidor trata los datos técnicos que lleva toda solicitud (dirección IP, hora, página solicitada, navegador). No guarda un registro de accesos. Base jurídica: nuestro interés legítimo en ofrecer el sitio web (art. 6.1.f) del RGPD).

**Formulario de contacto.** Si nos escribes a través del formulario de contacto (https://api.ridevelowatt.com/contact?lang=es), tratamos tu dirección de correo electrónico, tu mensaje, su asunto y, si lo indicas, tu nombre, para responderte. El mensaje llega a nuestro buzón a través de Mailgun, y respondemos desde allí; a la dirección que escribiste no se envía nada. Base jurídica: si tu mensaje se refiere a un contrato con nosotros o a su celebración, la ejecución del contrato (art. 6.1.b) del RGPD); en los demás casos, nuestro interés legítimo en responderte (art. 6.1.f) del RGPD). El formulario está protegido igual que el inicio de sesión (sección 4).

4. Tu cuenta

**Datos de la cuenta.** Inicias sesión con tu dirección de correo electrónico y un código de un solo uso que te enviamos a ella; tu primer inicio de sesión crea la cuenta. Guardamos tu dirección de correo electrónico, el nombre con el que ruedas, el tipo de cada dispositivo en el que tienes la sesión iniciada (como «Mac» o «PC con Windows») y cuándo se usó por última vez. También guardamos qué versión de las condiciones aceptaste y cuándo, tu confirmación de que tienes 18 años o más y, si te suscribes, tu solicitud de que la suscripción empiece de inmediato. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD). No estás obligado a facilitar estos datos, pero sin una dirección de correo electrónico no podemos crear una cuenta.

**Mantener la sesión iniciada.** La app guarda un token de inicio de sesión en el llavero de tu sistema, y la página de la cuenta instala una cookie en tu navegador. Ambos son estrictamente necesarios para el servicio que solicitas (§ 25, apartado 2, n.º 2, TDDDG). Tus ajustes y tus salidas se guardan en tu dispositivo y solo salen de él como describe esta política.

**Protección del inicio de sesión y del formulario de contacto.** Antes de que la página de la cuenta envíe un código por correo, y antes de que el formulario de contacto transmita un mensaje, Cloudflare Turnstile comprueba que la solicitud procede de una persona. Se ejecuta en tu navegador, evalúa señales técnicas como tu dirección IP y características de tu navegador, y no instala ninguna cookie; nosotros solo recibimos el resultado. Base jurídica: nuestro interés legítimo en evitar que se envíen códigos de inicio de sesión a direcciones de otras personas y que el formulario de contacto lo usen máquinas (art. 6.1.f) del RGPD); el acceso a tu navegador es estrictamente necesario para el inicio de sesión o el mensaje que solicitas (§ 25, apartado 2, n.º 2, TDDDG).

**Limitación de intentos.** Para impedir que se soliciten o adivinen códigos de forma masiva, y que el formulario de contacto y los formularios de baja y de desistimiento se usen de forma masiva, contamos las solicitudes por dirección IP y por dirección de correo electrónico durante un día como máximo. Para los códigos de inicio de sesión también transmitimos tu dirección IP a Supabase, que los envía, con el mismo fin. Base jurídica: nuestro interés legítimo en proteger las cuentas y el servicio frente a abusos (art. 6.1.f) del RGPD).

5. Prueba, suscripción y pago

**Prueba.** Para que cada persona use la prueba una sola vez, guardamos un hash con clave de tu dirección de correo electrónico (no la dirección en sí) durante un máximo de dos años. Base jurídica: nuestro interés legítimo en evitar pruebas repetidas (art. 6.1.f) del RGPD).

**Suscripción.** La suscripción la vendemos nosotros; Stripe gestiona el pago en nuestro nombre como comerciante registrado (merchant of record), cobra tu pago y emite la factura. Stripe recoge directamente tus datos de pago y tu dirección de facturación y los trata como responsable del tratamiento independiente conforme a su propia política de privacidad (https://stripe.com/privacy); nosotros nunca vemos los datos de tu tarjeta. Damos a Stripe tu dirección de correo electrónico y una referencia a tu cuenta, y recibimos de Stripe el estado de tu suscripción y qué periodos están pagados. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD).

**Precios nuevos y finalizaciones anticipadas.** Cuando te pedimos que aceptes un precio nuevo, guardamos tu respuesta, cuándo y dónde la diste (la página de la cuenta o la app) y el texto que se te mostró, como prueba de lo que aceptaste. Cuando una suscripción anual termina antes de tiempo con un reembolso, guardamos los datos con los que se calculó (el periodo, el pago y los meses usados) y el propio reembolso. Ambos se guardan mientras exista tu cuenta; un reembolso que aún se te deba se paga antes de que se elimine tu cuenta. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD) y nuestro interés legítimo en poder acreditarlo (art. 6.1.f) del RGPD).

**Conservación obligatoria.** Los registros que debemos conservar según la legislación fiscal y mercantil se conservan durante el plazo que exige la ley (art. 6.1.c) del RGPD), también después de que se elimine tu cuenta.

6. Salidas, entrenamientos, frecuencia cardiaca y tu perfil

**Salidas y entrenamientos.** Tus salidas y tus entrenamientos se guardan en tu dispositivo. Si activas las copias de seguridad, en la app o en la página de la cuenta, también guardamos tus salidas terminadas (lo que registró la salida, como el tiempo, la posición en el mundo virtual, la velocidad, la potencia, la cadencia y la altitud, tu peso y el de tu bici ese día, de dónde procedía la potencia (el dispositivo que la midió), cuándo estuvo en pausa la salida, la versión de la app, un identificador técnico aleatorio, el entrenamiento realizado, y el nombre y las notas que le pongas) y tus entrenamientos, para que puedas restaurarlos en otro dispositivo. Las copias de seguridad están desactivadas por defecto. Desactivarlas detiene las copias nuevas; eliminar las copias existentes es una acción aparte. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD).

**Frecuencia cardiaca.** La frecuencia cardiaca es un dato relativo a la salud (art. 9 del RGPD). Si conectas un sensor de frecuencia cardiaca, la app registra tu frecuencia cardiaca en tus salidas, en tu dispositivo. No la guardamos en nuestros servidores: las salidas de las que se hace copia de seguridad o que se transmiten se guardan sin ella.

**Enviar tu frecuencia cardiaca a servicios de entrenamiento.** Solo si has vinculado un servicio de entrenamiento (sección 8) y has activado «Enviar mi pulso», que está desactivado por defecto, la app nos envía la frecuencia cardiaca de cada salida terminada; nosotros la transmitimos directamente a los servicios que has vinculado sin guardarla. Base jurídica: tu consentimiento explícito (art. 9.2.a) del RGPD). Puedes retirarlo en cualquier momento con el mismo interruptor en la app o en la página de la cuenta; a partir de entonces, las salidas se envían sin frecuencia cardiaca. La retirada no afecta al tratamiento anterior a ella (art. 7.3 del RGPD). Registramos cuándo diste o retiraste tu consentimiento y con qué versión de esta política.

**Perfil de ciclista.** Tu nombre visible, tu potencia umbral (FTP), tu peso, tu bici y tu ropa, y tu idioma se sincronizan entre tus dispositivos tengas o no activadas las copias de seguridad, porque la app los necesita en cada dispositivo y calcula tu velocidad a partir de tu potencia y tu peso. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD). Tu perfil se elimina con tu cuenta.

**Progreso.** Lo que has conseguido rodando en la app se guarda con tu cuenta y se sincroniza entre tus dispositivos tengas o no activadas las copias de seguridad, para que un dispositivo perdido o nuevo nunca te lo quite: tu experiencia y tu nivel, los totales acumulados (distancia, metros de desnivel, tiempo rodando y número de salidas), los segmentos, rutas y mundos que has rodado y cuántas veces cada segmento, las insignias y el día en que conseguiste cada una, y tu mejor tiempo en cada segmento y en cada vuelta de las rutas propias de la app, con el día en que lo hiciste, además de identificadores aleatorios que mantienen separados los recuentos de cada uno de tus dispositivos. No contiene ninguna salida en sí: ni posición, ni velocidad, ni potencia, ni frecuencia cardiaca, ni ninguna de las rutas que dibujas. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD). Se elimina con tu cuenta; borrar tus copias de seguridad no lo borra.

7. Rodar con otros

En un mundo compartido, los ciclistas de tu sala reciben tu nombre visible, el aspecto de tu ciclista, tu posición y tu dirección en el mundo virtual, la velocidad, la potencia, la distancia recorrida y el peso, junto con características del ciclista y de la bici que sirven para simular la marcha en grupo e identificadores técnicos que sirven para distinguir a los ciclistas y entregar sus actualizaciones. No reciben tu frecuencia cardiaca, tu cadencia, tu dirección de correo electrónico ni tus credenciales de inicio de sesión. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD). Las posiciones son del mundo virtual, no tu ubicación física. Los demás ciclistas ven tu nombre visible, así que elige uno que no te importe compartir.

Rodar juntos pasa por nuestro propio servidor de retransmisión (relay) en Fráncfort, a través de una conexión cifrada. El relay no conserva nada de lo que envías una vez que termina la salida. Para proteger el servicio frente a abusos, sus registros guardan una dirección IP acortada, nunca la completa, durante 14 días. Base jurídica: nuestro interés legítimo en un servicio que funcione y no pueda usarse indebidamente (art. 6.1.f) del RGPD).

8. Servicios de entrenamiento que vinculas

Donde la app lo ofrece, puedes vincular VeloWatt Pro con Strava y con intervals.icu, para que tus salidas se suban automáticamente y, con intervals.icu, para que puedas añadir entrenamientos planificados a su calendario. No se envía nada a un servicio que no hayas vinculado.

**Acceso que solicitamos.** Concedes el acceso en la propia página del servicio. Solo pedimos lo que necesita el vínculo: de Strava, permiso para subir y editar actividades (activity:write) y para leer actividades, también las privadas (activity:read_all), que no usamos para leer nada: Strava lo exige antes de permitirnos cambiar el nombre de una actividad que subimos y que mantienes privada (visible solo para ti); de intervals.icu, permiso para subir actividades, escribir en tu calendario y establecer tu potencia umbral en tus ajustes (ACTIVITY:WRITE, CALENDAR:WRITE, SETTINGS:WRITE).

**Datos que enviamos.** Las salidas que terminas después de vincular, como archivos FIT: tiempo, potencia, velocidad, cadencia, distancia, recorrido, altitud, calorías y tu potencia umbral, y la frecuencia cardiaca solo con tu consentimiento (sección 6). El nombre de cada salida, para que al cambiarlo en la app cambie también en el servicio. A intervals.icu, los entrenamientos que añades a su calendario, y tu potencia umbral, de interior y de exterior, cuando pulsas Enviar; nunca automáticamente. Las salidas terminadas antes de vincular y las importadas desde un archivo no se envían salvo que lo pidas. Las posiciones de una salida están sobre el mapa real a partir del cual se construye un mundo virtual; no son el lugar donde estabas.

**Salidas transmitidas sin copias de seguridad.** Si las copias de seguridad están desactivadas, una salida se guarda en nuestros servidores solo para poder transmitirla, y se elimina en cuanto todos los servicios vinculados la hayan recibido, como máximo a los siete días. Queda un breve registro de que se envió, para que la app pueda mostrarlo y la salida no se envíe dos veces.

**Datos que recibimos y guardamos.** Solo tu ID de deportista en el servicio y, por cada salida que enviamos, el ID que le dio el servicio y si llegó. No leemos tu perfil, tu nombre, tus otras actividades ni tus seguidores. De intervals.icu, la app muestra también las salidas planificadas en tu calendario para los próximos días, con la potencia umbral con la que están planificadas: las leemos cuando la app lo pide y las transmitimos directamente, sin guardar nada de ellas. intervals.icu nos avisa cuando cambian tu calendario o tus ajustes, para que la app pueda leerlos de nuevo; no guardamos nada de esos avisos.

**Limitaciones de uso.** Los datos que recibimos de un servicio, o que guardamos para enviarlos a uno, se usan solo para ofrecer el vínculo que pediste. No se venden ni se comparten, no se usan para publicidad, analítica ni elaboración de perfiles, no se combinan con otros datos y no se usan en ninguna aplicación de IA o de aprendizaje automático: ni para entrenarla, probarla o ejecutarla, ni como entrada para ella.

**Terminar un vínculo.** Puedes desvincular el servicio en la app, revocar el acceso en los propios ajustes del servicio o eliminar tu cuenta. Entonces revocamos nuestro acceso en el servicio cuando este nos lo permite, y eliminamos el acceso y todos los datos que guardamos de ese servicio o para él: de inmediato cuando lo desvinculas o eliminas tu cuenta y, si revocas el acceso en el servicio, en cuanto nos enteramos. Las copias de seguridad de la base de datos que aún los contengan no se conservan más tiempo del que indica la sección 14 y solo se usan para restaurar el servicio.

**Base jurídica.** Tu consentimiento, que das al vincular el servicio (art. 6.1.a) del RGPD, y art. 9.2.a) del RGPD para la frecuencia cardiaca); desvincularlo lo retira. Una vez que una salida ha llegado a un servicio, ese servicio la trata como responsable del tratamiento independiente conforme a su propia política de privacidad, y eliminarla de VeloWatt Pro no la elimina allí. La sección 13 indica dónde están establecidos los servicios.

**Strava.** Strava puede recoger y usar datos sobre el uso que VeloWatt Pro hace de su API, incluidas las solicitudes hechas para tu cuenta de Strava, para sus propios fines comerciales y conforme a su propia política de privacidad (https://www.strava.com/legal/privacy). Puedes ver y retirar nuestro acceso a tu cuenta de Strava en cualquier momento en https://www.strava.com/settings/apps.

9. Correos electrónicos

Solo te escribimos por correo electrónico sobre tu cuenta: códigos de inicio de sesión, un cambio de tu dirección de correo electrónico (también a la dirección anterior), tu prueba, tu suscripción y sus pagos (incluidas las bajas y los desistimientos, un precio nuevo y una finalización anticipada), cambios en las condiciones y la eliminación de tu cuenta. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD). No enviamos boletines ni correos de marketing.

10. Actualizaciones y mundos

La app busca actualizaciones a través de Cloudflare. Una comprobación de actualizaciones no lleva nada que te identifique a ti o a tu cuenta, aparte de la dirección IP que lleva toda solicitud. Base jurídica: nuestro interés legítimo en mantener la app actualizada y segura (art. 6.1.f) del RGPD).

Los mundos se descargan mientras tienes la sesión iniciada, para que solo los reciban los ciclistas que tienen acceso. Base jurídica: ejecución del contrato (art. 6.1.b) del RGPD). La app no envía datos de analítica ni informes de errores.

11. Encargados del tratamiento

Los siguientes proveedores tratan datos por cuenta nuestra, solo siguiendo nuestras instrucciones y en virtud de un contrato de encargo del tratamiento (art. 28 del RGPD).

• Akamai Technologies (Linode), servidores en Fráncfort (Alemania): el sitio web, el servicio de cuentas y el relay.
• Supabase, base de datos e inicio de sesión, en Fráncfort (Alemania); también envía los códigos de inicio de sesión.
• Mailgun (Sinch), envío de correos electrónicos, desde su región de la UE; también transmite a nuestro buzón los mensajes del formulario de contacto.
• Namecheap (Private Email): nuestro buzón, que contiene los correos electrónicos y los mensajes del formulario de contacto que nos envías, como consultas de soporte, desistimientos y solicitudes sobre tus datos.
• Cloudflare: almacenamiento de las copias de seguridad de las salidas, de las descargas y de las copias de seguridad de la base de datos (R2), distribución de la app y de sus mundos, y la comprobación en el inicio de sesión de la página de la cuenta y en el formulario de contacto (Turnstile).

12. Seguridad

Protegemos los datos que guardamos con medidas técnicas y organizativas apropiadas al riesgo (art. 32 del RGPD), como el cifrado de todas las conexiones, de la base de datos y de las salidas guardadas, y un acceso limitado a las personas que gestionan el servicio. Se describen en https://ridevelowatt.com/es/security/.

13. Transferencias fuera de la UE

Nuestros servidores, el relay y la base de datos están en Fráncfort (Alemania). Algunos de nuestros encargados del tratamiento, o empresas de sus grupos, están establecidos en los Estados Unidos y pueden acceder a datos desde allí, por ejemplo para dar soporte o mantener su servicio en funcionamiento. Esas transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) cuando el destinatario está certificado conforme a él (art. 45 del RGPD) y, en los demás casos, en las cláusulas contractuales tipo de la Comisión Europea (art. 46.2.c) del RGPD). Puedes pedirnos una copia.

Servicios de entrenamiento: para los usuarios de la UE, Strava lo presta Strava Ireland Limited. Strava indica que almacena datos en los Estados Unidos y que protege esas transferencias con cláusulas contractuales tipo. intervals.icu lo gestiona Intervals.icu Ltd en el Reino Unido, respecto del cual la Comisión Europea ha adoptado una decisión de adecuación (art. 45 del RGPD), e indica que trata datos en Alemania y Finlandia. Cada servicio describe sus propias transferencias en su política de privacidad.

14. Plazos de conservación

• Datos de la cuenta: hasta que elimines tu cuenta. La cookie de inicio de sesión de la página de la cuenta: 30 días.
• Recuentos de intentos de inicio de sesión, mensajes del formulario de contacto, bajas y desistimientos (dirección IP y dirección de correo electrónico): un día.
• Salidas y entrenamientos con copia de seguridad: hasta que los elimines o elimines tu cuenta.
• Frecuencia cardiaca: no se guarda. Mientras una salida espera su frecuencia cardiaca, guardamos solo el hecho de que está esperando, durante 24 horas como máximo.
• Salidas transmitidas a un servicio de entrenamiento sin copias de seguridad: hasta que todos los servicios vinculados las hayan recibido, como máximo siete días. El registro de que una salida se envió: hasta que elimines la salida o tu cuenta.
• Datos de un servicio de entrenamiento vinculado (tu ID de deportista allí y los ID de las salidas enviadas): hasta que termine el vínculo.
• Hash de la prueba: hasta dos años.
• Bajas y desistimientos que nos envías: hasta tres años, como prueba de recepción (art. 6.1.f) del RGPD).
• Tus respuestas a un precio nuevo y el cálculo del reembolso de una finalización anticipada: mientras exista tu cuenta, y un reembolso que se te deba, hasta que se pague (sección 5).
• Los mensajes que nos envías por correo electrónico o a través del formulario de contacto, y nuestras respuestas: hasta dos años después de terminada la conversación. Un mensaje del formulario de contacto que espera a ser transmitido a nuestro buzón: como máximo siete días.
• Registros de acciones en tu cuenta (condiciones aceptadas, consentimientos dados y retirados, acceso gratuito que te concedimos, bajas revisadas): mientras exista tu cuenta y hasta tres años después de su eliminación, como prueba (art. 6.1.c) en relación con el art. 7.1 del RGPD para los consentimientos; en los demás casos, art. 6.1.f) del RGPD).
• Registros técnicos que mantienen el servicio en funcionamiento, como tareas pendientes, notificaciones de Stripe y de los servicios de entrenamiento sobre tu suscripción o un vínculo, y listas de lo que eliminaste para que tus otros dispositivos también lo eliminen: hasta 400 días.
• Registros del servidor del servicio de cuentas y del relay: hasta 14 días.
• Copias de seguridad de la base de datos: hasta 30 días; copias mensuales, hasta 12 meses.
• Registros exigidos por la legislación fiscal y mercantil: durante el tiempo que exija la ley, hasta diez años. Stripe conserva las facturas que emite como comerciante registrado (merchant of record); cuando eliminas tu cuenta, cancelamos tu suscripción y quitamos la referencia a tu cuenta del registro de cliente en Stripe.

15. Tus derechos

Tienes derecho de acceso (art. 15 del RGPD), de rectificación (art. 16), de supresión (art. 17), a la limitación del tratamiento (art. 18), a la portabilidad de los datos (art. 20) y de oposición (art. 21; véase la sección 16). Puedes retirar cualquier consentimiento en cualquier momento con efectos para el futuro (art. 7.3); la frecuencia cardiaca y los servicios vinculados son interruptores que puedes desactivar tú mismo.

Puedes descargar una copia de tus datos y eliminar tu cuenta en la pantalla Cuenta de la app y en la página de la cuenta (https://api.ridevelowatt.com/account); para todo lo demás, escríbenos.

Sin perjuicio de cualquier otro recurso, tienes derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de la UE o del EEE en el que residas, trabajes o en el que se haya producido la supuesta infracción; no tienes que dirigirte antes a nosotros (art. 77 del RGPD). La autoridad competente respecto de nosotros es la autoridad de protección de datos de Baja Sajonia (Die Landesbeauftragte für den Datenschutz Niedersachsen), Prinzenstraße 5, 30159 Hannover, https://www.lfd.niedersachsen.de.

17. Sin decisiones automatizadas

No tomamos decisiones sobre ti basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos en ti o te afecten significativamente de modo similar (art. 22 del RGPD).

18. Cambios en esta política

Actualizamos esta política antes de que cambie nuestro tratamiento; cada versión lleva una fecha. La app te avisa cuando la política ha cambiado; no necesitas aceptarla. Cuando un cambio requiera tu consentimiento, te lo pediremos primero.