Política de privacidad

Nuestro Compromiso con su Privacidad

En rumi.coach, la privacidad no es una casilla de verificación legal — es la base sobre la que se construye todo el producto. Se le pide que hable honestamente sobre su vida interior, sus metas, sus miedos y sus luchas. Esto requiere un entorno de completa confianza. Esta Política de Privacidad explica exactamente qué recopilamos, por qué lo recopilamos, qué no recopilamos y cómo usted mantiene el control en todo momento.

Esta Política se aplica a su uso del sitio web de rumi.coach, la aplicación web, la aplicación para iOS y la aplicación para Android (colectivamente, el "Servicio"), operado por RUMI LABS, LDA, una sociedad limitada privada constituida en Portugal con domicilio social en Travessa Velha do Picoto 125, 3700-638 Cesar ("rumi.coach", "we", "us", o "our").

rumi.coach es el responsable del tratamiento de datos para los datos personales descritos en esta Política, según se define en el Reglamento (UE) 2016/679 (el Reglamento General de Protección de Datos, "RGPD").

1. Qué Datos Recopilamos y Por Qué

1.1 Datos Que Nos Proporciona al Registrar la Cuenta

Cuando crea una cuenta de rumi.coach, le solicitamos la siguiente información:

No le solicitamos su nombre legal completo, número de teléfono o dirección particular al registrarse. Su nombre preferido es el único nombre que conservamos. (Opcionalmente, puede añadir un número de teléfono más adelante; consulte la Sección 1.2).

Cómo inicia sesión: Puede iniciar sesión con su dirección de correo electrónico o con su número de teléfono, en cuyo caso le enviamos un código de un solo uso — por correo electrónico o por SMS — y no almacenamos ninguna contraseña, o con Sign in with Apple o Google Sign-In. Si utiliza Apple o Google, recibimos la dirección de correo electrónico y, si lo permite, el nombre asociado a esa cuenta — nada más de su perfil de Apple o Google. Iniciar sesión con Apple le permite ocultar su dirección real detrás del retransmisor privado de Apple, y si lo hace, la dirección del retransmisor es la única que conservaremos.

Lo que acepta al registrarse: Crear una cuenta requiere que acepte nuestros Términos y Condiciones y, por separado, que confirme que entiende que está hablando con un coach de IA — que el audio de su voz se envía a nuestros servidores y es procesado por nuestros servicios dentro de Google Cloud para que Rumi pueda responder en voz alta, y que lo que dice se guarda en su perfil como recuerdos. El correo electrónico de marketing es una tercera casilla, completamente opcional. Registramos la fecha y hora de cada una de estas tres decisiones en su cuenta. Si inicia sesión con Apple o Google, lo que omite el formulario de registro, se le solicitan las mismas tres antes de que pueda usar el Servicio.

1.2 Datos Recopilados Durante el Uso del Servicio

Audio de la sesión de voz: Su voz se procesa en tiempo real durante una sesión para que Rumi pueda entenderle y responder en voz alta. El audio en sí nunca se almacena. Se procesa en la memoria y desaparece en el momento en que finaliza su sesión — no guardamos ninguna grabación de ninguna sesión. Las palabras se transcriben a medida que habla, porque así es como el coach le entiende, pero la transcripción tampoco se guarda: solo existe durante la duración de la sesión. Lo que sí perdura más allá de la sesión se describe en el siguiente párrafo, y se le pide que acepte esto en la aplicación antes de su primera sesión.

Recuerdos: De lo que dice, guardamos notas escritas breves en su perfil — las cosas que vale la pena recordar sobre sus objetivos, su situación y lo que le importa. Estos son textos almacenados, no audio, y son lo que hace que el coaching de Rumi sea personal con el tiempo en lugar de empezar de cero en cada sesión. Puede eliminar sus recuerdos por sí solos, sin eliminar nada más, desde Settings → Manage Data, y se borran cuando elimina su cuenta.

Resumen e ideas clave de la sesión: Al final de una sesión, guardamos un breve resumen escrito y las ideas clave extraídas de ella, para que pueda revisar en qué trabajó. Estos se almacenan en su cuenta y puede eliminarlos en cualquier momento.

Resultados de la sesión (datos del panel): Los resultados estructurados generados durante sus sesiones — como listas de hábitos, hojas de ruta de objetivos, prioridades y reflexiones — se almacenan en su cuenta en la región de Google Cloud que haya elegido y son visibles en su Panel de Claridad Visual. Usted controla estos datos y puede eliminar total o parcialmente en cualquier momento.

Metadatos de la sesión: Almacenamos metadatos técnicos limitados sobre las sesiones, incluida la fecha de la sesión, la duración en minutos y los minutos deducidos de su saldo. Esto es necesario para gestionar su asignación de minutos y la facturación con precisión.

Número de teléfono: Un número de teléfono puede ser su forma de iniciar sesión — le enviamos un código de un solo uso por SMS y usted lo introduce en lugar de una contraseña. Cuando su número es su identificador de inicio de sesión, lo conservamos porque el Servicio no puede permitirle el acceso sin él (ejecución de contrato). También puede añadir un número a una cuenta que haya creado de otra forma; en ese caso, lo usamos solo para enviarle mensajes SMS relacionados con el Servicio, basándonos en su consentimiento (Art. 6(1)(a)), y puede eliminarlo en cualquier momento en la configuración de su cuenta, lo que revoca dicho consentimiento. De cualquier manera, nunca usamos su número para publicidad y nunca lo compartimos con anunciantes.

Información de pago: Nunca vemos ni almacenamos los detalles de su tarjeta de pago. Las compras realizadas dentro de la aplicación iOS o Android son facturadas por Apple o Google bajo sus propias políticas de privacidad, y todo lo que recibimos es la confirmación de que se realizó una compra o renovación — sin número de tarjeta, sin los últimos cuatro dígitos, sin dirección de facturación. Las compras realizadas en nuestro sitio web son facturadas por Paddle como comerciante de registro. RevenueCat recibe la confirmación de compra para realizar un seguimiento de los derechos de su cuenta; nunca procesa un pago.

1.3 Datos Recopilados Automáticamente

Cuando visita nuestro sitio web o utiliza el Servicio, recopilamos automáticamente:

Datos de registro y del dispositivo: Dirección IP, tipo y versión del navegador, sistema operativo, tipo de dispositivo, páginas visitadas y marcas de tiempo. Estos datos se utilizan para mantener la seguridad del servicio y diagnosticar problemas técnicos.

Datos de análisis (Google Analytics): Utilizamos Google Analytics para comprender cómo los visitantes usan nuestro sitio web (no la experiencia en la aplicación). Google Analytics recopila datos como páginas visitadas, tiempo en la página, ubicación geográfica aproximada (derivada de la dirección IP) e información del dispositivo/navegador. Estos datos se agregan y se utilizan únicamente para mejorar el sitio web. Hemos habilitado la anonimización de IP en nuestra configuración de Google Analytics.

Análisis de producto dentro de la aplicación (PostHog, Mixpanel, Firebase Analytics): Para comprender cómo se utiliza realmente la aplicación y dónde las personas tienen dificultades, registramos qué pantallas abre y qué acciones realiza — una sesión iniciada, un muro de pago visto, un compromiso creado. Junto con esos eventos, enviamos su identificador de cuenta y un pequeño perfil: su coach y voz elegidos, género, un rango de edad en lugar de su fecha de nacimiento, idioma, país, región de datos, tema, área de enfoque, si la configuración está completa y cuándo se registró.

Lo que los análisis dentro de la aplicación nunca reciben: el contenido de sus sesiones. Ningún audio, ninguna transcripción, ningún recuerdo, ningún texto del Panel va a un proveedor de análisis — esos eventos solo indican que algo sucedió y nada de lo que se dijo.

Datos de fallos y diagnóstico (Firebase Crashlytics): Si la aplicación falla, recibimos el informe de fallo — modelo de dispositivo, versión del sistema operativo, versión de la aplicación y el seguimiento técnico de la pila — para que podamos solucionarlo.

Notificaciones push (Firebase Cloud Messaging): Si permite las notificaciones, a su dispositivo se le asigna un token push que almacenamos en su cuenta y usamos para enviarle recordatorios y avisos de sesión. Desactivar las notificaciones en la configuración de su dispositivo finaliza esto.

2. Almacenamiento y Ubicación de Datos

Al crear una cuenta, usted elige dónde se almacenan sus datos personales de cuenta:

• Europa: Google Cloud europe-west1 (Bélgica)
• Estados Unidos: Google Cloud us-central1 (Iowa)

Su elección determina la ubicación principal de los datos de su cuenta —los resultados de su Panel, recuerdos, resúmenes de sesión, metadatos de sesión y perfil de cuenta— y la región donde sus sesiones de voz son procesadas en tiempo real. Los servicios de IA que utilizamos se ejecutan dentro de Google Cloud en ambas regiones, por lo que su sesión se sirve desde la región que eligió. Esta es una configuración permanente por cuenta. Si desea cambiar su región de datos, debe contactarnos en support@rumi.coach; esto requerirá la eliminación de su cuenta actual y la creación de una nueva.

Independientemente de la región que elija, el audio de voz nunca se escribe en ningún sistema de almacenamiento en ningún lugar. Llega a nuestro backend dentro de Google Cloud, se procesa en memoria y no sale de Google Cloud.

Google Cloud está certificado bajo ISO 27001 y SOC 2, y procesa datos bajo un Anexo de Procesamiento de Datos que cumple con los requisitos del GDPR.

3. Transferencias Internacionales de Datos

Si elige almacenar sus datos en Estados Unidos (Iowa), sus datos personales serán transferidos y procesados en Estados Unidos, país que la Comisión Europea no ha determinado que ofrezca un nivel de protección de datos equivalente al de la UE.

Para asegurar que sus datos permanezcan protegidos, nos basamos en las Cláusulas Contractuales Tipo (CCT) de la Comisión Europea como mecanismo legal de transferencia para los datos procesados en la región de EE. UU. Puede solicitar una copia de las CCT aplicables contactándonos en support@rumi.coach.

Si elige la región de la UE (Bélgica), sus datos no salen del Espacio Económico Europeo.

4. Bases Legales para el Tratamiento (RGPD)

Tratamos sus datos personales únicamente cuando tenemos una base legal para hacerlo bajo el RGPD. Las bases aplicables son:

• Ejecución de un contrato (Art. 6(1)(b)): Tratamiento necesario para proporcionarle el Servicio — gestión de la cuenta, entrega de sesiones, Dashboard, facturación.
• Obligación legal (Art. 6(1)(c)): Tratamiento exigido por ley — verificación de edad, registros de IVA, cumplimiento de los derechos del consumidor.
• Intereses legítimos (Art. 6(1)(f)): Tratamiento necesario para nuestros intereses comerciales legítimos — prevención de fraude, monitorización de seguridad, estabilidad del servicio — cuando estos intereses no prevalecen sobre sus derechos. Sopesamos cuidadosamente nuestros intereses frente a su privacidad en cada caso.
• Consentimiento (Art. 6(1)(a)): Cuando nos basamos en el consentimiento — el tratamiento de su voz por IA descrito a continuación, correo electrónico de marketing, un número de teléfono opcional, cookies de Google Analytics en el sitio web — puede retirar dicho consentimiento en cualquier momento sin afectar la licitud del tratamiento previo a la retirada.

El tratamiento de su voz por IA se basa en su consentimiento. Antes de su primera sesión, debe confirmar, en una casilla de verificación propia y separada de la aceptación de los Términos, que entiende que está hablando con un sistema de coaching de IA, que el audio de su voz se envía a nuestro backend y es procesado por nuestros servicios dentro de Google Cloud para que Rumi pueda responder en voz alta, y que lo que dice se guarda en su perfil como recuerdos. Ninguna sesión puede comenzar hasta que lo haga, y la fecha y hora de ese consentimiento se registra en su cuenta. Lo retira eliminando su cuenta, lo que también borra sus recuerdos; retirarlo significa que el Servicio ya no puede ser proporcionado, porque hablar con un coach de IA es la totalidad del Servicio.

Minimizamos deliberadamente los datos sensibles: el audio de su voz nunca se almacena, no realizamos identificación biométrica, no usamos su voz para identificarle, y no construimos perfiles de salud ni inferimos características relacionadas con la salud sobre usted. Sin embargo, lo que elija decir en una sesión — y cualquier reflexión que elija guardar en su Dashboard — puede revelar información sobre su bienestar emocional. Cuando el contenido que proporciona incluye datos de categorías especiales (RGPD Art. 9), los tratamos únicamente para proporcionarle el Servicio, sobre la base de su consentimiento explícito (Art. 9(2)(a)) dado al crear su cuenta. Puede retirar ese consentimiento en cualquier momento eliminando el contenido relevante o su cuenta.

5. Cómo Usamos Sus Datos

Utilizamos los datos que recopilamos únicamente para los siguientes fines:

• Prestación y mantenimiento del Servicio: Ofrecer sesiones de coaching de voz, generar resultados del Panel de control (Dashboard), gestionar su cuenta y procesar la facturación.
• Gestión de su saldo de minutos: Rastrear la duración de las sesiones y deducir minutos de su asignación.
• Soporte al cliente: Responder a sus preguntas y resolver los problemas que nos plantee.
• Seguridad del servicio y prevención de fraude: Detectar y prevenir el acceso no autorizado, el abuso o el uso fraudulento del Servicio.
• Cumplimiento legal: Cumplir con nuestras obligaciones según la legislación portuguesa, de la UE y la ley fiscal aplicable.
• Análisis del sitio web: Comprender cómo los visitantes usan nuestro sitio web público para mejorarlo (a través de Google Analytics, con su consentimiento).
• Análisis del producto dentro de la aplicación: Entender qué funciones se utilizan y dónde los usuarios tienen dificultades, para que podamos mejorar la aplicación (a través de PostHog, Mixpanel y Firebase Analytics, y nunca incluyendo el contenido de sus sesiones).
• Diagnóstico de fallos: Recibir informes de fallos para que podamos corregir defectos (a través de Firebase Crashlytics).
• Notificaciones: Enviar recordatorios y avisos de sesión a su dispositivo, si permite las notificaciones (a través de Firebase Cloud Messaging).
• Comunicaciones del servicio: Enviarle correos electrónicos transaccionales como confirmaciones de suscripción, recibos de pago, avisos de saldo de minutos y actualizaciones de políticas.

No usamos sus datos para:

• Publicidad o retargeting
• Venta a terceros
• Entrenamiento de modelos de IA (sus sesiones no se utilizan para entrenar ningún modelo, incluida la IA que impulsa rumi.coach)
• Elaboración de perfiles para la toma de decisiones automatizada que produzcan efectos legales o significativos

6. Con Quién Compartimos Tus Datos

No vendemos tus datos personales. Los compartimos únicamente en las siguientes circunstancias limitadas:

Proveedores de servicios (encargados del tratamiento de datos): Trabajamos con un pequeño número de proveedores externos de confianza que procesan datos en nuestro nombre bajo estrictas obligaciones contractuales:

• Google Cloud Platform — infraestructura en la nube, almacenamiento de datos y los servicios de IA que impulsan una sesión. Nuestro backend, los datos de tu cuenta y tus recuerdos residen aquí, en la región que elegiste (UE — Bélgica, o EE. UU. — Iowa), y la transcripción de voz en tiempo real y la generación de respuestas de IA ocurren en esa misma región. El audio de tu sesión llega a nuestro backend dentro de Google Cloud y se procesa allí; no sale de Google Cloud. Se procesa de forma transitoria para impulsar tu sesión, nunca se almacena como audio y nunca se utiliza para entrenar ningún modelo.
• PostHog, Mixpanel — análisis de producto para la app: qué pantallas y acciones, además del pequeño perfil de cuenta descrito en la Sección 1.3. Nunca el contenido de tus sesiones.
• Google (Firebase Analytics, Crashlytics, Cloud Messaging) — análisis de la app, informes de errores y entrega de notificaciones push.
• RevenueCat — gestión del estado de suscripciones
• Google Analytics — análisis del sitio web (anonimizados, con tu consentimiento de cookies)
• SMTP2GO y SendGrid — entrega de correos electrónicos (uno sirve como respaldo para el otro)
• Twilio — entrega de SMS: tus códigos de inicio de sesión de un solo uso si inicias sesión por teléfono, y mensajes de servicio si añadiste un número a tu cuenta

Todos los encargados del tratamiento están vinculados por acuerdos de tratamiento de datos conformes con el RGPD y solo pueden procesar tus datos para el fin específico que les indicamos. Cada uno de ellos está contractualmente obligado a proteger tus datos con el mismo estándar establecido en esta Política —el mismo o un nivel de protección equivalente—, y a ninguno se le permite usar tus datos para sus propios fines, venderlos o entrenar sus propios modelos con ellos. Cuando se utiliza un encargado del tratamiento, nosotros seguimos siendo el responsable del tratamiento y seguimos siendo responsables ante ti por lo que haga con tus datos.

Plataformas de pago (responsables del tratamiento independientes): Las compras son facturadas por Apple (App Store), Google (Google Play), o Paddle (comerciante registrado para compras en el sitio web). Estas plataformas procesan tus datos de pago y facturación bajo sus propias políticas de privacidad, y rumi.coach nunca recibe ni almacena ninguno de los detalles de tu tarjeta de pago. Cuando estas plataformas procesan datos fuera del EEE, lo hacen bajo sus propias salvaguardas de transferencia del RGPD.

Requisitos legales: Podemos divulgar tus datos si así lo exige la ley, una orden judicial u otro proceso legal, o cuando sea necesario para proteger los derechos, la seguridad o la propiedad de rumi.coach o de terceros. Te notificaremos cualquier divulgación de este tipo cuando la ley lo permita.

Transferencias comerciales: En caso de fusión, adquisición o venta de la totalidad o parte de nuestro negocio, tus datos podrán ser transferidos como parte de esa transacción. Te notificaremos con antelación y tus derechos bajo esta Política seguirán siendo aplicables.

7. Retención de Datos

Retenemos sus datos personales solo durante el tiempo necesario para la finalidad para la que fueron recopilados, o según lo exija la ley.

Cuando elimina su cuenta, sus recuerdos, resúmenes de sesión, resultados del panel y detalles de perfil se borran inmediatamente como parte de esa solicitud, y en cualquier caso todos los datos personales se eliminan permanentemente en un plazo de 30 días, excepto cuando la ley nos exija retenerlos (por ejemplo, registros de pago con fines fiscales). Lo que sobrevive es un registro de la sesión sin contenido en ella — su fecha, duración y los minutos que consumió — que conservamos como registro comercial y de facturación y que ya no le identifica.

8. Cookies

Solo utilizamos cookies en nuestro sitio web público. No utilizamos cookies dentro de la aplicación de coaching más allá de lo estrictamente necesario para la autenticación y la seguridad de la sesión.

Cookies estrictamente necesarias: Requeridas para que el sitio web y la aplicación funcionen — autenticación, tokens de seguridad, estado de la sesión. Estas no pueden deshabilitarse.

Cookies de análisis (Google Analytics): Se utilizan para entender cómo los visitantes navegan por nuestro sitio web público. Estas solo se instalan con su consentimiento a través de nuestro banner de cookies. Puede retirar o cambiar su consentimiento en cualquier momento a través de Configuración de cookies.

No utilizamos cookies de publicidad, píxeles de seguimiento ni ninguna cookie de marketing de terceros.

Las cookies que utilizamos son:

Las duraciones de las cookies anteriores son la vida útil máxima de la cookie en su navegador. Los datos de análisis se conservan en Google Analytics hasta por 14 meses (consulte la Sección 7).

9. Sus Derechos Bajo el RGPD

Como interesado bajo el RGPD, usted tiene los siguientes derechos, que puede ejercer en cualquier momento:

• Derecho de acceso (Art. 15): Solicitar una copia de los datos personales que tenemos sobre usted.
• Derecho de rectificación (Art. 16): Solicitar la corrección de datos inexactos o incompletos.
• Derecho de supresión (Art. 17): Solicitar la eliminación de sus datos personales ("derecho al olvido"), sujeto a nuestras obligaciones legales de retención.
• Derecho a la limitación del tratamiento (Art. 18): Solicitar que limitemos el tratamiento de sus datos en ciertas circunstancias.
• Derecho a la portabilidad de los datos (Art. 20): Solicitar sus datos en un formato estructurado y legible por máquina para transferirlos a otro servicio.
• Derecho de oposición (Art. 21): Oponerse al tratamiento basado en intereses legítimos, incluyendo cualquier marketing directo.
• Derecho a retirar el consentimiento: Cuando el tratamiento se base en el consentimiento (p. ej., cookies de análisis), puede retirarlo en cualquier momento.
• Derecho a no ser objeto de decisiones automatizadas (Art. 22): No tomamos ninguna decisión automatizada que produzca efectos legales o significativos sobre usted.

Cómo ejercer sus derechos: Puede ejercer cualquiera de los derechos anteriores a través de la configuración de su cuenta, o contactándonos en support@rumi.coach. Responderemos en 30 días. Es posible que le pidamos que verifique su identidad antes de procesar su solicitud.

Derecho a presentar una reclamación: Si considera que no hemos tratado sus datos de forma lícita, tiene derecho a presentar una reclamación ante la autoridad portuguesa de protección de datos:

Comissão Nacional de Proteção de Dados (CNPD)
Rua de São Bento, 148-3º
1200-821 Lisboa, Portugal
www.cnpd.pt

También puede ponerse en contacto con la autoridad de protección de datos de su país de residencia si se encuentra en otro estado miembro de la UE.

10. Seguridad de los Datos

Implementamos medidas técnicas y organizativas adecuadas para proteger sus datos personales contra el acceso no autorizado, la pérdida, alteración o destrucción. Estas incluyen:

• Cifrado de datos en tránsito (TLS) y en reposo (AES-256) en Google Cloud
• Controles de acceso que limitan quién dentro de nuestro equipo puede acceder a los datos personales
• Revisiones de seguridad periódicas
• Procesamiento de audio de voz solo en memoria, sin operaciones de escritura en ningún sistema de almacenamiento

Ningún sistema es perfectamente seguro. Si tenemos conocimiento de una violación de datos que pueda afectar sus derechos y libertades, notificaremos a la CNPD en un plazo de 72 horas y le notificaremos a usted sin demora injustificada, según lo exige el Art. 33-34 del RGPD.

11. Privacidad de los niños

El Servicio no está dirigido a menores de 16 años. No recopilamos intencionadamente datos personales de menores de 16 años. Si nos damos cuenta de que hemos recopilado datos inadvertidamente de un usuario menor de 16 años, eliminaremos esos datos y cerraremos la cuenta rápidamente. Si cree que un menor de 16 años ha creado una cuenta, póngase en contacto con nosotros en support@rumi.coach.

12. Cambios a Esta Política

Podemos actualizar esta Política de Privacidad de vez en cuando. Si realizamos cambios sustanciales, le notificaremos por correo electrónico al menos 14 días antes de que la nueva política entre en vigor. La política actualizada siempre estará disponible en rumi.coach/privacy-policy. Su uso continuado del Servicio después de la fecha de entrada en vigor constituye la aceptación de la política actualizada. Si no está de acuerdo, puede eliminar su cuenta antes de que los cambios surtan efecto.

13. Contacto

Para cualquier pregunta relacionada con la privacidad, solicitudes de los interesados o inquietudes, por favor contáctenos:

RUMI LABS, LDA
Travessa Velha do Picoto 125, 3700-638 Cesar
Cesar, Portugal

Correo electrónico: support@rumi.coach
Sitio web: rumi.coach/support

Nuestro objetivo es responder a todas las consultas de privacidad en un plazo de 5 días hábiles.