Política de privacidad

Esta política explica, como pide el artículo 13 del Reglamento General de Protección de Datos (RGPD), qué datos personales trata Kluva como responsable: los de las cuentas de los entrenadores y de sus equipos, los de la suscripción a la plataforma y los de quienes visitan este sitio o nos escriben.

Los datos de los clientes de cada entrenador, y los de quienes le escriben desde su página pública, son otra cosa: su responsable es la organización del entrenador, y Kluva los trata solo por su encargo, con el contrato de encargo del tratamiento que cada organización acepta al darse de alta. Si eres cliente de un entrenador, lee el apartado «Si eres cliente de un entrenador».

Responsable del tratamiento

• Titular: Iván Partida Albarrán
• NIF: 20604727Q
• Domicilio: Calle Túmbez, 7, 11690 Olvera (Cádiz)
• Email: ivan@kluva.app

No hemos designado un delegado de protección de datos. Para cualquier cuestión sobre tus datos, escríbenos a ivan@kluva.app.

Qué datos tratamos

Tu cuenta. Para entrar en la aplicación:

• tu email y tu contraseña, que gestiona el servicio de autenticación y nunca se guarda en claro;
• tu nombre, el mismo en todas las organizaciones en las que trabajes;
• si activas la verificación en dos pasos, el factor de tu app de autenticación (TOTP) y los dispositivos que registres;
• los datos técnicos de tus sesiones que guarda el servicio de autenticación para mantenerte dentro y protegerla.

Dentro de cada organización, tu rol y, si los añades, tu perfil profesional (foto, modalidad de trabajo y descripción) y tu colegiación como dietista-nutricionista o tu titulación de Técnico Superior en Dietética, que declaras tú y Kluva no comprueba. Si tu organización publica su página pública y elige mostrar tu perfil en ella, tu nombre, tu foto, tu modalidad y tu descripción se ven allí, en abierto, hasta que la organización lo quite o despublique la página.

Tu organización. El nombre comercial, el nombre legal (la razón social o el nombre completo de quien trabaja por su cuenta), el email de contacto, el del delegado de protección de datos si lo tiene, la zona horaria y los ajustes de la organización; la versión del contrato de encargo que aceptó y cuándo. Si cobra a sus clientes con Kluva, sus datos fiscales para las facturas y el estado de su cuenta de Stripe conectada. Si los usa, su marca (el logo, el color y los textos de sus emails), su página pública (su dirección, sus textos e imágenes y su número de WhatsApp), los identificadores de su píxel de Meta y de su etiqueta de Google con la aceptación de su titular y su fecha, y la conexión con su cuenta de ActiveCampaign (su dirección y su clave, que se guarda cifrada y nunca se vuelve a mostrar).

La suscripción a la plataforma. El plan, el tramo, si se paga al mes o al año, el estado de la suscripción y sus fechas (la prueba, la renovación, un pago pendiente, el fin del servicio), y el identificador de cliente en Stripe. La tarjeta y los datos de facturación los escribes en las páginas de Stripe (Checkout y su portal): Kluva nunca ve el número de tu tarjeta. Stripe emite las facturas de la suscripción y guarda su historial.

Los emails. Te enviamos los emails del servicio: la confirmación de la cuenta, el cambio de contraseña, las invitaciones a una organización, los avisos de la suscripción, de la prueba y de los pagos, y los avisos de tu trabajo que elijas recibir. Guardamos si se entregaron y, si un email rebota o se marca como no deseado, dejamos de escribir a esa dirección. No enviamos comunicaciones comerciales. Los emails que enviamos en nombre de una organización a sus clientes o a sus interesados (las invitaciones, sus avisos y el que confirma que alguien quiere recibir sus novedades) son suyos: los enviamos por su encargo, y su responsable es ella.

Las notificaciones en el navegador. Si permites las notificaciones en un navegador, guardamos la dirección del servicio de notificaciones de ese navegador, las dos claves con las que se cifra cada aviso y una etiqueta genérica del dispositivo («Chrome en Android»), nada más. Cada aviso viaja cifrado: el servicio del navegador (de Google, Apple, Mozilla o Microsoft, según el navegador) solo lo entrega. Puedes quitarlas cuando quieras desde la aplicación o desde el navegador.

La IA. Si el titular de tu organización la activa, guardamos quién aceptó su texto, qué versión y cuándo, y de cada uso de la IA, para contar los créditos y por seguridad, quién lo pidió, qué tarea, el modelo, cuántos tokens y cuánto costó, nunca el texto, durante 13 meses. Si conectas a Kluva tu propio asistente de IA, guardamos esa conexión (el asistente, los permisos que le diste y su último uso) hasta que la revoques o pasen 90 días sin usarla. Lo que escribes al asistente de Kluva y los borradores que prepara son datos de tu organización: los tratamos por su encargo, se guardan 30 días y nunca se usan para entrenar modelos.

Registros técnicos y de seguridad. La API escribe registros técnicos de cada petición que identifican organizaciones, cuentas y clientes por un código, nunca por su nombre, su email ni sus datos de salud. El registro de actividad de cada organización apunta qué se hizo, quién y cuándo (por ejemplo, un cambio de rol o la exportación de los datos de un cliente), nunca lo que decían los datos.

Quienes visitan este sitio. Este sitio no te pide datos, no instala cookies, no usa herramientas de analítica y no ejecuta código en tu navegador. Como cualquier servidor web, el que lo aloja recibe la dirección IP y los datos técnicos de cada petición para servir la página y protegerse de abusos, y puede guardarlos en sus registros durante un tiempo limitado.

Si nos escribes. Tu email, lo que nos cuentes y nuestra respuesta.

La agenda: iCal y Google Calendar

El enlace iCal. Cada miembro, y cada cliente en su app, puede suscribir su calendario a un enlace secreto con su agenda de Kluva: las sesiones, citas y reuniones de los 30 días anteriores y de los 120 siguientes, con su título y, si son presenciales, su lugar. Nunca lleva el enlace de una videollamada, notas, otros clientes ni nada de salud. Del enlace solo guardamos una huella (un hash), así que no se puede leer en nuestra base de datos: se muestra una vez y puedes regenerarlo, y el anterior deja de funcionar al momento. Se borra con su dueño.

Google Calendar. Conectarlo es opcional y lo decide cada miembro, en Ajustes > Agenda. Si lo conectas, Kluva:

• crea en tu cuenta de Google un calendario secundario, «Kluva», y escribe en él tus sesiones, citas, reuniones y ausencias; no lee ni cambia tus otros calendarios;
• lee solo las horas ocupadas de tu calendario principal, sin títulos ni detalles, para que tus clientes no puedan reservarte una cita cuando estás ocupado;
• lee el email de tu cuenta de Google, para mostrarte con cuál estás conectado.

Lo que escribe en Google nunca lleva datos de salud, notas ni enlaces, y no lleva nombres de clientes salvo que tu organización active «Mostrar nombres de clientes en Google Calendar» (entonces, «Cita con Ana G.»); si lo desactiva o borra a un cliente, Kluva quita esos nombres también de las citas pasadas. Los datos de Google Calendar no se comparten con terceros ni se usan para publicidad ni para entrenar modelos. El permiso de Google se guarda cifrado.

Para desconectar, Ajustes > Agenda > «Desconectar», que revoca el permiso en Google. Al desconectar o al dejar la organización se borra lo que Kluva guardaba de tu Google Calendar, salvo el calendario «Kluva», que queda en tu cuenta de Google con lo que tenía: es tuyo y lo borras tú.

El uso y la transferencia a cualquier otra aplicación de la información recibida de las API de Google por parte de Kluva se ajustará a la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de uso limitado.

Las páginas públicas de los entrenadores

Cada entrenador puede publicar con Kluva una página propia, con su formulario de contacto. De lo que se recoge en ella (los datos de quien escribe y lo que miden sus etiquetas, si las tiene) el responsable es la organización del entrenador, que lo explica en la política de privacidad y en la política de cookies enlazadas desde su página, con su nombre legal y su email; Kluva lo trata solo por su encargo. Quien escribe desde el formulario es un interesado del entrenador: se guarda 12 meses desde su último contacto y nunca se mezcla con los de otras organizaciones.

Una página sin etiquetas no instala cookies ni ejecuta código en el navegador. Si el entrenador añade un píxel de Meta o una etiqueta de Google, la página muestra antes un aviso con «Aceptar» y «Rechazar», y no carga nada de esas empresas hasta que el visitante acepta; su elección se guarda en una cookie propia de la página, kluva_consent. El servidor de las páginas recibe, como cualquier otro, la dirección IP de cada visita, y la usa solo para servir la página y frenar los abusos, como los envíos automáticos del formulario, sin guardarla con los datos de nadie.

Finalidades y base jurídica

• Darte la cuenta y prestar el servicio que contrata tu organización: el alta, la entrada, la verificación en dos pasos, los emails y avisos del servicio y el soporte. Base: la ejecución del contrato (art. 6.1.b del RGPD), el de la organización con Kluva y, si eres miembro de un equipo, el de tu organización contigo.
• Cobrar la suscripción y facturarla. Base: la ejecución del contrato (art. 6.1.b) y, para conservar las facturas, una obligación legal (art. 6.1.c), la de la normativa mercantil y tributaria.
• Proteger el servicio: los registros técnicos y de actividad, los límites de peticiones y la prevención de abusos y accesos indebidos, también los registros del servidor de este sitio. Base: nuestro interés legítimo en la seguridad de la plataforma y de los datos que guarda (art. 6.1.f), que no pesa más que tus derechos porque esos registros identifican por códigos y se guardan lo justo.
• La IA, si tu organización la activa: contar sus créditos y proteger su uso. Base: la ejecución del contrato (art. 6.1.b).
• Las notificaciones en el navegador y Google Calendar, que activas tú. Base: tu consentimiento (art. 6.1.a), que retiras al quitarlas o al desconectar.
• Contestarte si nos escribes. Base: nuestro interés legítimo en atenderte (art. 6.1.f) o, si tu mensaje es sobre el servicio, el contrato (art. 6.1.b).

Los datos de la cuenta y de la organización son necesarios para prestar el servicio: sin ellos no podemos darte de alta. No tomamos decisiones automatizadas que te afecten jurídicamente ni hacemos perfiles.

Conservación

• La cuenta, mientras la tengas. Puedes pedirnos que la borremos.
• La organización y todo lo que contiene, mientras dure el servicio. Cuando termina (por cancelación o por impago), queda en solo lectura 30 días, después suspendida, y sus datos se borran 90 días después del fin del servicio. La aplicación muestra esas fechas en Suscripción.
• Las facturas de la suscripción y los datos que las sostienen, seis años, el plazo de conservación del artículo 30 del Código de Comercio, que cubre también el de la normativa tributaria.
• Los registros técnicos, el tiempo limitado que los guarda nuestro proveedor de alojamiento; el registro de actividad de una organización, mientras exista la organización.
• Las notificaciones en el navegador, hasta que las quites o el servicio del navegador diga que ya no existen; Google Calendar, hasta que lo desconectes o dejes la organización; el enlace iCal, hasta que lo regeneres o se borre su dueño.
• Los usos de la IA, sin su texto, 13 meses; la conexión de tu asistente de IA, hasta que la revoques o pasen 90 días sin usarla.
• Tus mensajes, lo que haga falta para atenderte y, después, para responder de lo que te dijimos.

Lo que se borra desaparece también de las copias de seguridad en un plazo máximo de 30 días.

Destinatarios y encargados

No vendemos ni cedemos tus datos a nadie, salvo obligación legal (por ejemplo, un requerimiento de un juez o de la Administración tributaria). Para prestar el servicio los tratan, por nuestro encargo y con contrato, los proveedores técnicos de la página de subencargados: el alojamiento de la base de datos, de la API y de la web, el envío de emails, los cobros con Stripe y, si tu organización usa la IA, Amazon Web Services. Si conectas Google Calendar, Google recibe lo que se escribe en tu calendario «Kluva» con tu propia cuenta de Google, que se rige por las condiciones de Google; si conectas tu propio asistente de IA, ese asistente recibe lo que le dejas leer, con las condiciones de quien te lo da.

Si el titular de Kluva se fusiona, se escinde o vende el negocio, los datos pasarían a la empresa que continúe el servicio, con las mismas garantías, y te avisaríamos antes.

Transferencias internacionales

Los datos se guardan y se procesan en servidores de regiones de la Unión Europea: la base de datos en Fráncfort (Alemania), la API, los ficheros y el envío de emails en la Unión Europea, y la IA en las regiones de la Unión Europea de Amazon Web Services. Algunos proveedores pertenecen a grupos de fuera de la Unión Europea y podrían acceder a ellos para darles soporte, y Stripe trata datos de pago en la Unión Europea y en los Estados Unidos. En esos casos la transferencia se protege con las cláusulas contractuales tipo de la Comisión Europea o con el Marco de Privacidad de Datos UE-EE. UU.; cada proveedor y su garantía están en la página de subencargados.

Si eres cliente de un entrenador

Tu entrenador usa Kluva para trabajar contigo. Tus datos (los de tu ficha, tu entrenamiento, tus medidas y fotos, tu chat, tu alimentación, tus reservas y tus pagos, y la cuenta con la que entras en la app) los trata su organización como responsable, y Kluva solo por su encargo. La app es para mayores de 18 años.

Al aceptar la invitación, la app te muestra las condiciones de uso para clientes, la información de privacidad de tu entrenador, con su nombre legal y su email, y el texto del consentimiento para tus datos de salud: uno solo para todo el servicio, que puedes volver a leer y retirar en Perfil > Privacidad. Sin él no se puede usar el servicio, y si lo retiras, esos datos se borran en un plazo máximo de 30 días. Desde la app puedes también descargar una copia de tus datos; para lo demás, escribe a tu entrenador. Si nos escribes a nosotros, le haremos llegar tu petición.

Si compras con un enlace de compra de tu entrenador, tu nombre, tu email y tu confirmación de que eres mayor de edad los trata también su organización, y el pago se hace en su propia cuenta de Stripe.

• La comunidad. Si tu entrenador tiene grupos y das tu consentimiento para la comunidad, lo que publicas, comentas y reaccionas en ellos lo ven los miembros de tus grupos y su equipo, nadie más; se trata como dato de salud y se borra si retiras ese consentimiento. Su equipo modera los grupos con las normas de la comunidad. En un ranking solo apareces si lo eliges, con tu nombre y la inicial de tu apellido, y nunca con tu peso ni tus medidas.
• La IA de tu entrenador. Si tu entrenador usa la IA de Kluva, puede preparar con tus datos borradores (entrenamientos, menús, resúmenes de tu semana, propuestas de mensajes) que una persona de su equipo revisa siempre. Los procesa Amazon Web Services en regiones de la Unión Europea, nunca para entrenar modelos, y nunca recibe tu email, tu teléfono, tu fecha de nacimiento ni tu dirección. Puedes activar «No usar mis datos con IA» en Perfil sin perder nada del servicio. Si alguien de su equipo conecta su propio asistente de IA, ese asistente no ve tus datos de salud.
• Tu enlace de invitación. Si tu entrenador tiene referidos, tu app te da un enlace para compartir tú; Kluva no escribe a nadie por ti. Ves cuántas personas han llegado con él y cuántas se han hecho clientes, nunca quiénes.
• Las novedades de tu entrenador. Solo si las aceptas, en tu app o en el formulario de su página. Si las aceptas en el formulario, te llega un email para confirmarlo, que caduca a los 7 días: sin confirmar, no se te envía nada. Puedes darte de baja en tu app, con el enlace de cada email o diciéndoselo a tu entrenador.
• ActiveCampaign. Algunos entrenadores envían sus novedades con su propia cuenta de ActiveCampaign. Si el tuyo la ha conectado y has aceptado sus novedades, Kluva envía a esa cuenta, por su encargo, tu email, tu nombre, tu teléfono si lo diste y las etiquetas que tu entrenador elige, nunca datos de salud; y si te das de baja, te da de baja también allí. ActiveCampaign es un proveedor de tu entrenador, no de Kluva, y puede tratar tus datos en los Estados Unidos: tu entrenador te informa de ello y responde de la garantía de esa transferencia.
• Si escribiste a un entrenador desde su página, eres su interesado: lo que escribiste allí lo trata su organización como responsable, y la política de privacidad de su página dice cómo.

Tus derechos

Puedes pedirnos acceder a tus datos, corregirlos, borrarlos, limitar su uso u oponerte a él, y recibirlos en un formato que puedas llevar a otro servicio. Si tratamos un dato con tu consentimiento, puedes retirarlo cuando quieras, sin que eso afecte a lo que hicimos antes. Escríbenos a ivan@kluva.app desde el email de tu cuenta o con lo que nos permita saber que eres tú; te contestaremos en un mes como máximo.

Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).

Cookies

Este sitio no instala cookies ni usa herramientas de analítica o de publicidad, ni propias ni de terceros. La aplicación tampoco usa cookies: guarda en el almacenamiento de tu navegador tu sesión, tus preferencias (el tema o las columnas que eliges) y, en la app del cliente, lo que registras sin conexión hasta que se envía: lo estrictamente necesario para el servicio que pides, que no requiere consentimiento. Si tu entrenador comparte un vídeo de YouTube o de Vimeo, la app no carga nada de esas plataformas hasta que pulsas «reproducir»; entonces se carga su reproductor, en el modo de privacidad mejorada de YouTube o con la opción «no rastrear» de Vimeo.

Las páginas públicas de los entrenadores solo usan cookies si su entrenador les añade etiquetas de Meta o de Google: entonces, la cookie que guarda tu elección y, si las aceptas, las de esas empresas. Lo explica la política de cookies de cada página, desde la que puedes cambiar tu elección (arriba).

Cambios en esta política

Si cambiamos esta política, publicamos aquí la versión nueva con su fecha y, si el cambio es importante, te avisamos por email o en la aplicación antes de que se aplique.

Última actualización: 25 de octubre de 2026.