POLÍTICA DE PRIVACIDAD

1. Responsable del tratamiento

El responsable del tratamiento de sus datos personales es:

963 sp. z o.o.
ul. Aleksandra Gryglewskiego 6 lok. 8
80-303 Gdańsk
NIP: 5842878792 · REGON: 543615988 · KRS: 0001214277

Para cuestiones relacionadas con la protección de datos personales, póngase en contacto: olimpia@intuflow.pl.

2. Qué datos recopilamos

2.1. Datos facilitados durante el registro:

• Dirección de correo electrónico – necesaria para crear la cuenta e iniciar sesión
• Contraseña – almacenada únicamente en forma cifrada (hash) en el sistema Supabase Auth
• Nombre – necesario para la personalización de la cuenta
• Intención (opcional) – campo de texto en el que puede describir su objetivo o intención relacionados con el desarrollo personal

2.2. Datos generados o guardados durante el uso de la aplicación:

• Fecha de creación de la cuenta e identificador de usuario (UUID) asignado por el sistema Supabase Auth
• Fecha y versión de los Términos y condiciones y de la Política de privacidad aceptados
• Respuestas facilitadas en el cuestionario de onboarding, si decide completarlo
• El contenido de las conversaciones con el asistente Lumi, sus registros técnicos abreviados y los resúmenes de la memoria de la conversación, si utiliza esta función
• Contenidos publicados en la comunidad – hilos del foro y mensajes del chat público, visibles para otros usuarios de la aplicación que hayan iniciado sesión. Los contenidos publicados incluyen su nombre o seudónimo visible en el perfil
• Mensajes privados – el contenido de los mensajes intercambiados con otros usuarios, visible para el remitente y el destinatario. No los revisamos, salvo que se nos denuncie un fragmento de un mensaje (apartado «Denuncias de contenidos» más abajo)
• Diario, hábitos y notas de sesión – entradas que crea en las herramientas personales, visibles solo para usted
• Módulo Genesis – progreso y respuestas en los ejercicios. Si utiliza la propuesta «Fuerza Superior», datos seleccionados de sus respuestas (y, si activa esta opción en el perfil, también un contexto más amplio del perfil) se transmiten al proveedor del modelo de IA para generar la propuesta
• Fecha, hora y lugar de nacimiento – si utiliza el análisis «Propósito del alma»: los usamos una sola vez para calcular el perfil y para que el proveedor del modelo de IA genere el análisis; no los guardamos en su cuenta
• Foto de perfil (avatar) – si decide subirla; almacenada en el sistema Supabase Storage
• El progreso en los cursos y los registros de las lecciones y cuestionarios completados
• Token de suscripción a las notificaciones push – si otorga su consentimiento para las notificaciones en el navegador; almacenado únicamente hasta el momento de la retirada del consentimiento o de la eliminación de la cuenta
• Denuncias de contenidos – si denuncia una publicación, un mensaje o una respuesta del asistente de IA: el identificador de su cuenta, el tipo y el motivo de la denuncia, el identificador y un fragmento del contenido denunciado (en el caso de un mensaje privado, también un fragmento de ese mensaje), su observación (opcional), el idioma de la aplicación, el estado de tramitación y la fecha de la denuncia. El fragmento del contenido denunciado puede contener datos de la persona que lo publicó
• Bloqueos de usuarios – si bloquea a otro usuario en los mensajes privados: un par de identificadores (quién bloqueó a quién) y la fecha del bloqueo. La persona bloqueada no recibe de nosotros ninguna notificación del bloqueo

2.3. Datos técnicos:

• Dirección IP – en la medida necesaria para garantizar la seguridad del sistema
• Datos de sesión y cookies – necesarios para mantener la sesión de inicio de sesión
• Registros técnicos relacionados con el funcionamiento de la aplicación, la seguridad y el límite de uso de las funciones
• Datos analíticos – páginas que abres, clics, información sobre el dispositivo y el navegador, así como un identificador analítico guardado en el almacenamiento local de tu navegador (no en cookies)
• Grabaciones de sesión sin contenido – registro de la disposición de la pantalla, los clics, el desplazamiento y los errores técnicos. Todo el texto está enmascarado: no registramos ni lo que escribes ni lo que se muestra en la pantalla – en lugar de palabras aparecen asteriscos. Detalles en el apartado 6

2.4. Datos sensibles:

El campo «intención», el cuestionario de onboarding y las conversaciones con Lumi pueden contener información relativa a la salud, el bienestar emocional u otros datos de categorías especiales en el sentido del art. 9.1 RGPD. Si introduce voluntariamente dicha información, la tratamos únicamente sobre la base de su consentimiento expreso (art. 9.2.a) RGPD). Puede retirar este consentimiento en cualquier momento, por ejemplo, eliminando el contenido, renunciando a la función correspondiente o eliminando la cuenta.

2.5. Aplicación para Android de Google Play:

• La aplicación INTUflow disponible en la tienda Google Play abre la misma aplicación web (app.intuflow.pl) en el navegador Chrome de su dispositivo (tecnología Trusted Web Activity). En ella tratamos los mismos datos, con los mismos fines y sobre las mismas bases que en la versión para navegador, descritos en la presente Política.
• La aplicación de Google Play no recopila datos adicionales del dispositivo y no solicita acceso a la ubicación, los contactos, el micrófono ni la cámara. El único permiso del sistema que puede solicitar son las notificaciones; puede desactivarlas en cualquier momento en los ajustes del teléfono. La foto de perfil nos llega solo si usted elige y sube un archivo.
• La descarga y las actualizaciones de la aplicación, los datos de su cuenta de Google y las transacciones en la tienda Google Play son gestionados por Google Ireland Limited como responsable del tratamiento independiente, sobre la base de su propia política de privacidad (policies.google.com/privacy). No recibimos de Google datos sobre su cuenta de Google ni sobre su dispositivo en relación con la instalación de la aplicación, salvo estadísticas agregadas y anonimizadas que se ponen a disposición de los editores de aplicaciones en la consola de Google Play.
• Para mostrar la versión de la aplicación adecuada para Google Play, guardamos en el navegador la cookie técnica app_channel (apartado 6.1).

3. Fines y bases jurídicas del tratamiento

4. Destinatarios de los datos

4.1. Sus datos pueden ser transmitidos a las siguientes categorías de destinatarios:

• Supabase (Supabase Inc.) – plataforma backend que gestiona la autenticación y la base de datos. Supabase puede almacenar los datos en centros de datos situados dentro o fuera de la Unión Europea, en función de la configuración de los servicios.
• Vercel (Vercel Inc.) – plataforma de alojamiento en la que funciona la aplicación. Vercel puede tratar datos técnicos, incluida la dirección IP, en el marco de los servicios de alojamiento prestados.
• Google – proveedor de los modelos de IA utilizados por la función Lumi. A Google pueden transmitirse los contenidos de la conversación y el contexto limitado necesario para generar la respuesta.
• Anthropic – proveedor de los modelos de IA utilizados por la función Lumi, el ejercicio «Sueños», el análisis «Propósito del alma», las propuestas «Fuerza Superior» y la traducción de publicaciones en la comunidad. A Anthropic pueden transmitirse los contenidos de la conversación o de la publicación y el contexto limitado necesario para generar la respuesta.
• OpenStreetMap Foundation (servicio Nominatim) – recibe únicamente el nombre de la localidad introducido en el análisis «Propósito del alma», enviado desde nuestro servidor para determinar las coordenadas y la zona horaria, sin su dirección IP ni los datos de la cuenta.
• Brevo (Sendinblue SAS) – plataforma para el envío de correos electrónicos transaccionales (confirmación de registro, restablecimiento de contraseña). A Brevo se transmite la dirección de correo electrónico del usuario con el fin de entregar los mensajes.
• Bunny.net (BunnyWay d.o.o.) – plataforma de streaming de vídeo integrado en las lecciones de los cursos. Durante la reproducción de los materiales de vídeo, Bunny.net puede tratar datos técnicos de conexión, incluida la dirección IP.
• PostHog (PostHog, Inc.) – herramienta de analítica de uso de la aplicación y de grabación de sesiones con contenido enmascarado. Utilizamos la instancia europea del servicio, con servidores en Fráncfort, por lo que los datos analíticos permanecen en la Unión Europea. A PostHog se transmiten: el identificador de usuario (UUID), las páginas abiertas, los clics, los datos técnicos del navegador y las grabaciones de sesión sin contenido de texto. No enviamos allí tu dirección de correo electrónico, tu nombre ni los contenidos que creas en la aplicación.
• Proveedores de servicios contables y jurídicos – únicamente en la medida necesaria para el cumplimiento de las obligaciones del responsable del tratamiento.

4.2. No transmitimos sus datos a otras entidades con fines de marketing ni vendemos datos personales.

4.3. El contenido de las denuncias solo puede ser consultado por el administrador de la aplicación en el panel de moderación. La denuncia de un contenido que infrinja la ley podemos transmitirla a las autoridades competentes si así lo exige la normativa.

5. Transferencia de datos fuera del Espacio Económico Europeo (EEE)

5.1. Algunos de nuestros proveedores, incluidos los proveedores de infraestructura o de modelos de IA, pueden tratar o almacenar datos fuera del Espacio Económico Europeo, incluido en los Estados Unidos.

5.2. En tales casos, adoptamos medidas que garantizan un nivel adecuado de protección de los datos, en particular:

• utilizamos las Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea cuando resultan necesarias,
• cuando está disponible y resulta aplicable, utilizamos también otros mecanismos de transferencia conformes a Derecho, incluidas las decisiones de adecuación,
• verificamos si el proveedor ofrece las medidas de seguridad técnicas y organizativas adecuadas,
• supervisamos los cambios en la normativa relativa a la transferencia transatlántica de datos.

5.3. Desde el 29 de julio de 2026 tratamos los datos analíticos y las grabaciones de sesión exclusivamente en la instancia europea de PostHog, en servidores situados en Fráncfort. Anteriormente se enviaban a los servidores de ese proveedor en Estados Unidos; tras el traslado, estos datos no salen del Espacio Económico Europeo.

6. Cookies y tecnologías similares

6.1. La Aplicación INTUflow utiliza cookies y tecnologías similares únicamente con fines técnicos necesarios para el correcto funcionamiento de la aplicación:

• Cookies de sesión – sirven para mantener la sesión de inicio de sesión del usuario. Se eliminan tras cerrar la sesión o cerrar el navegador.
• Cookies de proveedores externos – Supabase y Vercel pueden establecer sus propias cookies técnicas necesarias para el funcionamiento de sus servicios.
• Cookie app_channel – se guarda solo en la aplicación instalada desde Google Play; recuerda que utiliza esta versión de la aplicación para mostrar las funciones propias de ella. No contiene datos personales y se conserva hasta 12 meses.

6.2. Analítica y grabación de sesiones. La aplicación utiliza PostHog para saber qué funciones se usan y dónde se producen errores. No instala cookies: el identificador analítico se guarda en el almacenamiento local de tu navegador y no se adjunta a las solicitudes enviadas a nuestro servidor.

6.3. Las grabaciones de sesión no contienen ningún texto. Se enmascara tanto lo que escribes como lo que se muestra en la pantalla: en la grabación, las palabras se sustituyen por asteriscos. Esto significa que la grabación no contiene el contenido de tu diario, tus conversaciones con Lumi, las publicaciones del foro ni las respuestas de los cuestionarios. Sigue siendo visible: la disposición de la página, los clics, el desplazamiento, las transiciones entre pantallas y los mensajes de error técnicos.

6.4. La aplicación no utiliza cookies ni otras tecnologías de marketing, no te perfila con fines publicitarios y no transfiere datos a redes de publicidad.

6.5. Puede gestionar la configuración de cookies en su navegador. No obstante, la desactivación de las cookies puede impedir el correcto inicio de sesión y el uso de la aplicación.

7. Plazo de conservación de los datos

• Datos analíticos y grabaciones de sesión – los eventos analíticos se conservan durante un máximo de 12 meses y las grabaciones de sesión unos 30 días, tras lo cual el proveedor del servicio las elimina automáticamente. Puedes oponerte a este tratamiento en cualquier momento escribiendo a la dirección indicada en el apartado 1.
• Datos de la cuenta – los conservamos durante el tiempo de uso de la aplicación. Tras la eliminación de la cuenta, los datos de la cuenta, la foto de perfil y el token de notificaciones push se eliminan de forma permanente. Asimismo, eliminamos su dirección de correo electrónico de la base de contactos de nuestro proveedor de envío de correos electrónicos (Brevo). Los contenidos publicados en la comunidad (hilos del foro, mensajes del chat) se anonimizan: el nombre del autor se sustituye por la denominación «Usuario eliminado» y el contenido permanece visible con el fin de preservar la coherencia de las conversaciones. Los datos conservados exclusivamente con el fin de defenderse frente a reclamaciones se eliminan una vez transcurrido el plazo de prescripción (por regla general, hasta 6 años conforme al art. 118 del Código Civil polaco).
• Respuestas de onboarding, intención y datos guardados para la personalización de las funciones – por regla general, durante el tiempo de mantenimiento de la cuenta o hasta su eliminación anticipada por su parte, con la salvedad de los datos necesarios para la defensa frente a reclamaciones.
• Registros de aceptación de los documentos legales – durante el tiempo necesario para acreditar cuándo y qué versión de los documentos se aceptó, y no más allá del plazo de prescripción de las reclamaciones.
• Datos relacionados con Lumi – durante el tiempo necesario para el funcionamiento de la función, la personalización de las respuestas y la conservación del historial técnico, por regla general durante el tiempo en que la cuenta esté activa o hasta su eliminación anticipada conforme al proceso vigente.
• Denuncias de contenidos – durante el tiempo de tramitación de la denuncia y 12 meses desde su cierre (adopción de la decisión) y, si la denuncia es necesaria para la defensa frente a reclamaciones o en un procedimiento ante una autoridad, hasta su conclusión. Tras la eliminación de la cuenta del denunciante, la denuncia permanece sin vinculación con su cuenta.
• Bloqueos de usuarios – hasta el desbloqueo o la eliminación de la cuenta de cualquiera de las partes.
• Mensajes privados – hasta la eliminación de la cuenta del remitente o del destinatario; la eliminación de la cuenta borra la conversación para ambas partes.
• Datos técnicos y registros – durante un período no superior al necesario para garantizar la seguridad del sistema, y no más de 12 meses.
• Datos sensibles introducidos voluntariamente por el usuario – hasta la eliminación de la cuenta o la retirada del consentimiento, con la salvedad del plazo de prescripción de las reclamaciones.

8. Sus derechos

Conforme al RGPD, le asisten los siguientes derechos:

• Derecho de acceso – puede obtener información sobre qué datos suyos tratamos, así como una copia de dichos datos.
• Derecho de rectificación – puede solicitar la rectificación de datos inexactos o incompletos.
• Derecho de supresión («derecho al olvido») – puede solicitar la supresión de sus datos si no existen bases jurídicas para su tratamiento posterior.
• Derecho a la limitación del tratamiento – puede solicitar la limitación temporal del tratamiento de los datos en determinadas situaciones.
• Derecho a la portabilidad de los datos – puede recibir sus datos en un formato estructurado y transmitirlos a otro responsable del tratamiento.
• Derecho de oposición – puede oponerse al tratamiento basado en el interés legítimo del responsable del tratamiento.
• Derecho a retirar el consentimiento – en el caso de los datos sensibles, puede retirar el consentimiento en cualquier momento.
• Derecho a presentar una reclamación – si considera que el tratamiento infringe las disposiciones del RGPD, puede presentar una reclamación ante el Presidente de la Oficina de Protección de Datos Personales de Polonia (UODO) (ul. Stawki 2, 00-193 Warszawa).

Para ejercer los derechos anteriores, escriba a la dirección: olimpia@intuflow.pl. Respondemos, por regla general, en un plazo de hasta 30 días.

9. Contacto

Para cuestiones relacionadas con la protección de datos personales, la presente Política de privacidad o el ejercicio de sus derechos, póngase en contacto con nosotros:

Correo electrónico: olimpia@intuflow.pl
Datos de correspondencia: 963 sp. z o.o., ul. Aleksandra Gryglewskiego 6 lok. 8, 80-303 Gdańsk.

10. Modificaciones de la Política de privacidad

10.1. La presente Política de privacidad puede actualizarse en caso de cambios legales, técnicos u organizativos.

10.2. Informaremos a los usuarios de la aplicación de las modificaciones sustanciales mediante una notificación en la aplicación o un mensaje de correo electrónico.

10.3. Recomendamos consultar periódicamente la presente Política.