Política de privacidad
Última actualización: 19 de octubre de 2026
Responsable del tratamiento: CEDIA Investigación y Desarrollo, S.L. (marca Nutricionista IA)
Contacto: [email protected]
Ámbito de aplicación: Sitio web https://nutricionistaia.ai, la aplicación https://app.nutricionistaia.ai y todos sus servicios.
Última actualización: Octubre 2026
La presente Política de Privacidad describe cómo Nutricionista IA recoge, usa, conserva y protege los datos personales de los usuarios, de conformidad con el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Le rogamos que la lea detenidamente antes de utilizar nuestros servicios.
1. Responsable del tratamiento
| Titular | CEDIA Investigación y Desarrollo, S.L. |
| NIF | B93806404 |
| Domicilio | Avenida Aragón 30, 46021 Valencia (España) |
| Marca comercial | Nutricionista IA |
| Teléfono | +34 960 730 734 |
| Actividad | Asistente de nutrición y hábitos saludables basado en inteligencia artificial |
| Correo electrónico | [email protected] |
| Sitio web | https://nutricionistaia.ai · https://app.nutricionistaia.ai |
| Normativa aplicable | RGPD (UE) 2016/679 · LOPDGDD 3/2018 · LSSI-CE 34/2002 |
2. Datos que recogemos y por qué
Recogemos distintas categorías de datos según la interacción del usuario con la plataforma:
2.1. Datos de registro y cuenta
- Nombre y dirección de correo electrónico.
- Contraseña (almacenada de forma cifrada mediante hash, nunca en texto plano).
- Si el usuario se registra con Google: nombre, correo electrónico y foto de perfil de su cuenta de Google.
- Idioma preferido, país, fecha de registro y última conexión.
- Registro de la aceptación del aviso médico y de esta política (fecha y versión).
2.2. Datos de salud, hábitos y conversaciones
Para elaborar y ajustar el plan nutricional, el usuario puede facilitarnos:
- Edad, sexo, peso, altura, medidas corporales y fotos de progreso.
- Objetivo (por ejemplo, pérdida de peso o ganancia muscular) y nivel de actividad física.
- Condiciones médicas, medicación, alergias e intolerancias, alimentos excluidos, cirugías y situaciones especiales (por ejemplo, embarazo o lactancia).
- Patrón alimentario, registro de comidas y de agua, hábitos y rachas.
- Contenido de las conversaciones mantenidas con el asistente de IA y con los especialistas virtuales.
⚠ Datos de categoría especial — Datos de salud (art. 9 RGPD): Buena parte de la información anterior revela datos sobre la salud del usuario. El RGPD clasifica estos datos como categoría especial, lo que implica un nivel de protección reforzado.
La base jurídica para su tratamiento es el consentimiento explícito del usuario (art. 9.2.a RGPD), otorgado al aceptar el aviso médico y esta política en el momento del registro. El usuario puede retirar este consentimiento en cualquier momento, eliminando su cuenta o escribiéndonos, sin que ello afecte a la licitud del tratamiento previo.
Nutricionista IA no es un servicio sanitario: no emite diagnósticos ni sustituye a un profesional de la salud, y no comparte estos datos con sistemas de salud, aseguradoras, empleadores, anunciantes ni ningún tercero no autorizado.
2.3. Datos técnicos y de uso
- Datos técnicos de sesión (dirección IP, tipo de dispositivo, navegador, sistema operativo).
- Pantallas visitadas y duración de las sesiones dentro de la aplicación.
- Si el usuario las activa, la suscripción a notificaciones push de su navegador.
- Las consultas enviadas al servicio de soporte.
2.4. Datos de facturación y pago
- Plan contratado, estado de la suscripción e historial de pagos y facturas.
- Los datos de tarjeta los procesa íntegramente Stripe: Nutricionista IA no los ve ni los almacena.
2.5. Datos de navegación y cookies
- Cookies propias y de terceros (ver sección 7).
- Píxel de Meta para la medición de campañas publicitarias (ver sección 5).
- Datos de analítica web.
2.6. Datos que NO recogemos
- No recogemos datos de menores de 18 años de forma consciente.
- No almacenamos datos de tarjeta de crédito (gestionados íntegramente por Stripe).
- No recogemos datos biométricos ni de geolocalización precisa.
3. Finalidades del tratamiento y bases jurídicas
Cada tratamiento que realizamos tiene una finalidad concreta y una base jurídica específica conforme al artículo 6 del RGPD:
| Finalidad | Datos tratados | Base jurídica (art. 6 RGPD) |
|---|---|---|
| Gestión del registro y acceso a la cuenta | Email, contraseña, nombre | Ejecución de contrato (art. 6.1.b) |
| Prestación del servicio de asistente nutricional con IA (planes, chat, especialistas, seguimiento del progreso) | Datos de salud y hábitos, conversaciones | Ejecución de contrato (art. 6.1.b) + Consentimiento explícito para datos de salud (art. 9.2.a) |
| Gestión de suscripciones y pagos | Datos de facturación, historial de pagos | Ejecución de contrato (art. 6.1.b) + Obligación legal (art. 6.1.c) |
| Envío de comunicaciones transaccionales (verificación de cuenta, restablecimiento de contraseña, avisos de pago) | Email, nombre | Ejecución de contrato (art. 6.1.b) |
| Recordatorios y emails de seguimiento dentro del servicio | Email, nombre, actividad en la aplicación | Interés legítimo (art. 6.1.f); desactivables desde Ajustes |
| Envío de comunicaciones comerciales y newsletter | Email, nombre | Consentimiento (art. 6.1.a) + LSSI art. 21 |
| Notificaciones push | Suscripción push del navegador | Consentimiento (art. 6.1.a), otorgado al activarlas |
| Análisis y mejora del servicio | Datos de uso | Interés legítimo (art. 6.1.f) |
| Publicidad y medición de campañas en Meta (Facebook/Instagram) | Datos de navegación y conversiones (nunca datos de salud) | Consentimiento (art. 6.1.a) mediante gestión de cookies |
| Cumplimiento de obligaciones legales (fiscales, contables) | Datos de facturación | Obligación legal (art. 6.1.c) |
| Seguridad, prevención de fraude y detección de abusos | IP, datos de sesión, registros técnicos | Interés legítimo (art. 6.1.f) |
4. Encargados del tratamiento y transferencias internacionales
Para la prestación del servicio, Nutricionista IA trabaja con los siguientes proveedores, que actúan como encargados del tratamiento conforme al artículo 28 del RGPD:
| Proveedor | Función | País / Sede | Garantías RGPD |
|---|---|---|---|
| Supabase, Inc. | Base de datos, autenticación, almacenamiento de fotos de progreso y funciones del servidor | EE.UU. | DPA + Cláusulas Contractuales Tipo (SCCs) |
| Anthropic, PBC | Procesamiento de las conversaciones (modelo de IA Claude) | EE.UU. / multi-región | DPA + Cláusulas Contractuales Tipo (SCCs) |
| Stripe Payments Europe, Ltd. / Stripe, Inc. | Procesamiento de pagos y gestión de suscripciones | Irlanda (UE) / EE.UU. | DPA + SCCs + certificación PCI-DSS |
| Brevo (Sendinblue SAS) | Envío de emails transaccionales y comunicaciones comerciales | Francia (UE) | Dentro del EEE — sin transferencia internacional |
| Hostinger International Ltd. | Alojamiento de la plataforma, del sitio web y del correo | Lituania (UE) | Dentro del EEE — sin transferencia internacional |
| Cloudflare, Inc. | Entrega del sitio web y protección frente a ataques | Global / EE.UU. | DPA + SCCs + Marco de Privacidad de Datos UE-EE.UU. |
| Google Ireland Ltd. | Inicio de sesión con Google (solo si el usuario lo utiliza) y entrega de notificaciones push en Chrome/Android | Irlanda (UE) / EE.UU. | DPA + SCCs + Marco de Privacidad de Datos UE-EE.UU. |
| Meta Platforms Ireland Ltd. | Publicidad en Facebook e Instagram (Píxel de Meta) | Irlanda (UE) / EE.UU. | DPA + SCCs + Marco de Privacidad de Datos UE-EE.UU. |
Si el usuario activa las notificaciones push, el servicio de push de su navegador (Google, Mozilla, Apple o Microsoft) entrega los avisos; solo recibe el texto de la notificación, nunca datos de salud.
4.1. Transferencias internacionales de datos
Algunos de los proveedores indicados, como el de base de datos (Supabase) y el de IA (Anthropic), implican una transferencia de datos fuera del Espacio Económico Europeo (EEE), principalmente hacia Estados Unidos. Dichas transferencias se amparan en las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea (Decisión de Ejecución 2021/914) y, cuando corresponde, en el Marco de Privacidad de Datos UE-EE.UU. (Data Privacy Framework), adoptado por Decisión de Adecuación de la Comisión Europea de julio de 2023.
4.2. Retención de datos por Anthropic (API)
Nutricionista IA utiliza la API de Anthropic bajo términos comerciales (no una cuenta de consumidor). Bajo esta modalidad, Anthropic no utiliza los datos enviados por la API para entrenar sus modelos de IA y elimina las entradas y salidas de las conversaciones en un plazo breve, conforme a su política de retención para clientes de la API. En el supuesto excepcional de que una conversación sea marcada por sus sistemas de detección de abusos, la retención puede extenderse conforme a la política de uso aceptable de Anthropic. A la IA solo se envía la información necesaria para responder a cada consulta.
5. Publicidad en redes sociales — Meta Ads
Nutricionista IA utiliza Meta Ads (Facebook Ads e Instagram Ads) para la promoción de sus servicios. Esto implica el uso de las siguientes tecnologías:
5.1. Píxel de Meta (Meta Pixel)
El Píxel de Meta es un fragmento de código que Nutricionista IA instala en su sitio web y en su aplicación. Cuando un usuario ha aceptado las cookies de marketing, este píxel recoge información sobre su comportamiento (páginas visitadas, registros, compras) y la envía a Meta Platforms para los siguientes fines:
- Medir la efectividad de las campañas publicitarias (conversiones, coste por adquisición).
- Crear audiencias personalizadas (Custom Audiences) para mostrar anuncios a usuarios que ya han visitado el sitio.
- Crear audiencias similares (Lookalike Audiences) para llegar a nuevos usuarios con perfiles similares a los actuales.
- Optimizar la entrega de anuncios hacia usuarios con mayor probabilidad de conversión.
Importante: El Píxel de Meta solo se activa si el usuario ha otorgado su consentimiento previo a través del panel de gestión de cookies. Si el usuario rechaza las cookies de marketing, el píxel no se ejecutará y no se enviará ningún dato a Meta. El usuario puede revocar su consentimiento en cualquier momento desde la configuración de cookies.
5.2. Audiencias personalizadas y remarketing
Nutricionista IA puede compartir con Meta, de forma cifrada (hash SHA-256), listas de correos electrónicos de usuarios que han dado su consentimiento expreso para recibir comunicaciones comerciales. Esta práctica se denomina Custom Audiences from Customer List y permite mostrar anuncios específicos a dichos usuarios en Facebook e Instagram.
El usuario puede oponerse a esta práctica en cualquier momento escribiendo a [email protected] o desde la configuración de anuncios de su cuenta de Facebook.
5.3. Responsabilidad conjunta con Meta
En relación con el uso del Píxel de Meta, Nutricionista IA y Meta Platforms Ireland Ltd. actúan como corresponsables del tratamiento en los términos del artículo 26 del RGPD, conforme al Acuerdo de Corresponsabilidad (Controller Addendum) de Meta. Para más información sobre cómo Meta trata los datos, puede consultar la Política de Privacidad de Meta.
5.4. Restricción expresa: datos de salud y publicidad
Nutricionista IA no utiliza ni comparte con Meta ningún dato de las conversaciones, del registro de comidas, del peso, de las condiciones médicas ni ningún otro dato que pueda revelar el estado de salud del usuario. El píxel de Meta opera exclusivamente a nivel de comportamiento de navegación (visitas, registros, compras) y nunca accede a ese contenido. Esta restricción es absoluta e irrenunciable.
6. Comunicaciones, email marketing y notificaciones
Nutricionista IA utiliza Brevo (Sendinblue SAS), empresa con sede en Francia (UE), para el envío de comunicaciones electrónicas a sus usuarios. Brevo actúa como encargado del tratamiento y dispone de un DPA conforme al RGPD.
6.1. Tipos de comunicaciones
- Comunicaciones transaccionales: verificación de cuenta, restablecimiento de contraseña, avisos de pago y de renovación de la suscripción. Son necesarias para la ejecución del contrato y no requieren consentimiento adicional.
- Comunicaciones de seguimiento: recordatorios y resúmenes de progreso dentro del servicio. El usuario puede desactivarlas desde Ajustes.
- Comunicaciones comerciales: newsletters, promociones, novedades del servicio y contenidos sobre nutrición y hábitos saludables. Requieren consentimiento previo y expreso del usuario (art. 21 LSSI) y pueden cancelarse en cualquier momento mediante el enlace de baja incluido en cada email o escribiendo a [email protected].
- Notificaciones push: solo si el usuario las activa en su navegador; puede desactivarlas en cualquier momento desde Ajustes o desde la configuración del navegador.
6.2. Datos tratados por Brevo
Para el envío de emails, Brevo recibe y trata: dirección de correo electrónico, nombre del usuario y metadatos técnicos de entrega (aperturas, clics, rebotes). Ningún dato de las conversaciones ni de salud es transmitido a Brevo.
6.3. Opt-out de comunicaciones comerciales
El usuario puede darse de baja de las comunicaciones comerciales en cualquier momento, sin necesidad de justificación, mediante:
- El enlace de «Darse de baja» incluido en el pie de todo email comercial.
- Solicitud directa a [email protected].
- La configuración de preferencias en el panel de su cuenta.
7. Cookies y tecnologías de seguimiento
El sitio web y la aplicación utilizan cookies y almacenamiento local propios y de terceros. A continuación se describen las principales categorías:
| Categoría | Finalidad | Ejemplos | Consentimiento |
|---|---|---|---|
| Técnicas / Necesarias | Funcionamiento básico, sesión de usuario, seguridad | Sesión iniciada, token de autenticación | No requerido (art. 22.2 LSSI) |
| Preferencias | Recordar ajustes del usuario | Idioma, tema claro/oscuro | No requerido (art. 22.2 LSSI) |
| Analíticas | Análisis agregado del tráfico y del uso | Herramienta de analítica web | Requerido |
| Marketing / Publicidad | Medición de conversiones, remarketing, audiencias personalizadas | Píxel de Meta (_fbp, _fbc) | Requerido |
El usuario puede gestionar o retirar su consentimiento en cualquier momento a través del panel de preferencias de cookies.
8. Plazos de conservación de los datos
| Categoría de datos | Plazo de conservación | Justificación |
|---|---|---|
| Datos de cuenta, perfil, datos de salud y hábitos, conversaciones y fotos de progreso | Mientras la cuenta esté activa; se suprimen al eliminar la cuenta | Ejecución del servicio |
| Conversaciones en servidores de Anthropic | Plazo breve según su política para clientes de la API | Política de retención de Anthropic |
| Datos de facturación | 5 años desde la emisión de la factura | Obligación fiscal (Ley 58/2003 General Tributaria) |
| Logs de seguridad y acceso | 12 meses | Interés legítimo en seguridad + art. 12 LSSI |
| Datos de email marketing (suscriptores) | Hasta la retirada del consentimiento o baja | Consentimiento (revocable) |
| Cookies de marketing (Píxel de Meta) | Máximo 90 días para las cookies _fbp / _fbc | Política de Meta Platforms |
9. Derechos del usuario
El usuario puede ejercer en cualquier momento los siguientes derechos frente a Nutricionista IA como responsable del tratamiento:
| Derecho | En qué consiste |
|---|---|
| Acceso | Obtener confirmación de si se tratan sus datos y acceder a ellos. |
| Rectificación | Solicitar la corrección de datos inexactos o incompletos. |
| Supresión | Solicitar la eliminación de sus datos cuando ya no sean necesarios o retire el consentimiento. |
| Limitación | Solicitar la suspensión del tratamiento en determinados supuestos. |
| Portabilidad | Recibir sus datos en formato estructurado y de uso común para transmitirlos a otro responsable. |
| Oposición | Oponerse al tratamiento basado en interés legítimo o con fines de marketing directo. |
| Retirada del consentimiento | Retirar en cualquier momento el consentimiento prestado sin que ello afecte al tratamiento previo. |
| No ser objeto de decisiones automatizadas | Solicitar intervención humana en decisiones tomadas exclusivamente por sistemas automatizados que le afecten significativamente. |
Cómo ejercer sus derechos: Desde la propia aplicación (Ajustes) el usuario puede descargar una copia de sus datos y eliminar su cuenta con todos sus datos. También puede escribir a [email protected] indicando el derecho que desea ejercer. Responderemos en el plazo máximo de 30 días desde la recepción de la solicitud.
Reclamación ante la AEPD: Si considera que el tratamiento de sus datos no se ajusta a la normativa vigente, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos: www.aepd.es
10. Medidas de seguridad
Nutricionista IA aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de conformidad con el artículo 32 del RGPD:
- Cifrado de datos en tránsito mediante TLS 1.2 o superior (HTTPS).
- Cifrado de datos en reposo (bases de datos y copias de seguridad).
- Contraseñas almacenadas con funciones de hash seguras.
- Aislamiento de los datos de cada usuario mediante políticas de seguridad a nivel de fila en la base de datos.
- Fotos de progreso en almacenamiento privado, no accesible públicamente.
- Acceso a datos restringido al personal con necesidad justificada (need-to-know).
- Revisiones periódicas de seguridad y gestión de vulnerabilidades.
En caso de brecha de seguridad que entrañe un riesgo para los derechos y libertades de los usuarios, Nutricionista IA notificará el incidente a la AEPD en un plazo máximo de 72 horas desde que tenga conocimiento del mismo, y lo comunicará a los usuarios afectados sin dilación indebida, conforme a los artículos 33 y 34 del RGPD.
11. Menores de edad
El servicio está dirigido exclusivamente a personas mayores de 18 años. Al registrarse, el usuario declara expresamente ser mayor de edad. Nutricionista IA no recoge datos de menores de forma consciente. Si se detecta que un usuario es menor de 18 años, se procederá a la cancelación inmediata de su cuenta y a la supresión de sus datos.
De conformidad con el artículo 7 de la LOPDGDD, el tratamiento de datos de menores de 14 años requiere el consentimiento de sus padres o tutores legales.
12. Modificaciones de la política de privacidad
Nutricionista IA se reserva el derecho a modificar la presente Política de Privacidad para adaptarla a novedades legislativas, jurisprudenciales o cambios en los servicios prestados. Cualquier modificación sustancial será comunicada al usuario por correo electrónico o dentro de la aplicación con un mínimo de 15 días de antelación a su entrada en vigor. La versión actualizada estará siempre disponible en el sitio web con indicación de la fecha de última actualización.
13. Ley aplicable y jurisdicción
La presente Política de Privacidad se rige por la legislación española y por la normativa europea en materia de protección de datos. Para la resolución de cualquier controversia relacionada con la misma, las partes se someten a la jurisdicción de los Juzgados y Tribunales correspondientes al domicilio del usuario en España, sin perjuicio del derecho del usuario a presentar reclamación ante la AEPD.